Session Hijacking

Session Hijacking: Secuestro y robo de sesiones de aplicaciones web

Abril, 2012

Omar Palomino
omarc320@gmail.com opalomino@kunak.com.pe

http://www.el-palomo.com

 Ing. Sistemas y Maestrista de Ing. de Computacin y Sistemas, CEH, Security+, ITIL v3. Consultor en seguridad de informacin de KUNAK Consulting. Psiclogo que aun no comienza sus estudios. Escritor en mis tiempos libres: http://www.el-palomo.com
http://www.el-palomo.com

Cmo funciona el secuestro de sesiones?

Secuestro de sesiones de forma manual

Herramientas de secuestro de sesiones

Conclusiones y contramedidas

AVISO Y CONSIDERACIONES LEGALES

Las tcnicas mostradas en la presentacin tienen por objetivo CONOCER las tcnicas utilizadas por los hackers para robar y secuestrar sesiones de aplicaciones web. La presentacin NO TIENE POR OBJETIVO ensear tcnicas para realizar ataques contra aplicaciones web que son penados segn la legislacin de los pases. El autor no se hace responsable del mal uso de las tcnicas mostradas en la presentacin.

http://www.el-palomo.com

Cmo funciona el secuestro de sesiones?

Secuestro de sesiones de forma manual

Herramientas de secuestro de sesiones

Conclusiones y contramedidas

Funcionamiento
1
El usuario ha ingresado normalmente a una aplicacin web comercial o corporativo, como: Hotmail Facebook Aplicaciones web particulares (corporativos)

El

atacante

encuentra

un

Importante: El usuario (la vctima) no se entera que su sesin de aplicacin web ha sido vulnerada.

mecanismo

para averiguar el identificador de SESIN y realizar el secuestro de la sesin del usuario.

http://www.el-palomo.com

Cmo funciona el secuestro de sesiones?

Secuestro de sesiones de forma manual

Herramientas de secuestro de sesiones

Conclusiones y contramedidas

Por qu sucede esto?

Cuando el usuario ingresa a una pgina web:

1. Se crea una sesin aleatoria en el servidor web , esta sesin se almacena en una cookie o en una sesin . 2. Esta cookie viaja por la web cada vez que el cliente navega por la aplicacin. La cookie contiene un identificador de sesin.

1.

El atacante realiza un ataque para conseguir la sesin del usuario:

Hombre en el medio (Man in the middle MiTM)

Esto sucede porque: La transmisin de la sesin viaja en texto plano.

Algoritmo dbil de ID de sesin (sesiones predecibles o muy pequeas). Incorrecta configuracin del bloqueo de sesiones. Sesiones que nunca expiran.

Predecir el identificador de sesin (Predict Session)

Cross site scripting (XSS)

Otros de menos probabilidad 2. El atacante modifica la cookie e ingresa a la aplicacin web con el contenido restringido de la vctima.

http://www.el-palomo.com

Cmo funciona el secuestro de sesiones?

Secuestro de sesiones de forma manual

Herramientas de secuestro de sesiones

Conclusiones y contramedidas

Vamos a la prctica
Aplicacin web PHP : 1. Capturamos la sesin mediante la tcnica de hombre en el medio. 2. Identificamos la cookie y el nmero de sesin. 3. Modificamos la cookie mediante una herramienta: Advanced Cookie Manager. 4. Accedemos a la aplicacin sin usuario ni contrasea.

Aplicaciones web en internet (HOTMAIL): 1. Capturamos la sesin mediante la tcnica de hombre en el medio. 2. Identificamos la cookie: RPSTAuth 3. Modificamos la cookie mediante una herramienta: Advanced Cookie Manager. 4. Accedemos a la aplicacin sin usuario ni contrasea.

http://www.el-palomo.com

Cmo funciona el secuestro de sesiones?

Secuestro de sesiones de forma manual

Herramientas de secuestro de sesiones

Conclusiones y contramedidas

Cookies de aplicaciones web conocidas

Cmo averiguo cul es la COOKIE que me interesa? Entra a la aplicacin web e identifica cookie por cookie cual es la importante. Google te lo puede decir (ya antes alguien se ha preguntado lo mismo).

http://www.el-palomo.com

Cmo funciona el secuestro de sesiones?

Secuestro de sesiones de forma manual

Herramientas de secuestro de sesiones

Conclusiones y contramedidas

Debemos automatizar el ataque.

Ferret: Herramienta para formatear el archivo PCAP producto del sniffing. Hamster: Proxy que muestra las cookies formateadas por Ferret. Herramientas que funcionan en Windows y Linux.

Hamster y Ferret

Firesheep

Plugin de Mozilla Firefox Automatiza de manera muy rpida el robo de sesiones. A la fecha (2012) el plugin est descontinuado.

Greasemonkey

Plugin de Mozilla Firefox Permite ingresar la cookie capturada mediante MITM

http://www.el-palomo.com

Cmo funciona el secuestro de sesiones?

Secuestro de sesiones de forma manual

Herramientas de secuestro de sesiones

Conclusiones y contramedidas

Cmo evitamos el secuestro de sesiones?

Envo de sesiones a travs de un canal encriptado (HTTPS)

Generar el identificador de sesin despus de un login exitoso

Evitar vulnerabilidades de aplicaciones web: XSS y correcta finalizacin de sesiones.

http://www.el-palomo.com

Session Hijacking

Session Hijacking: Secuestro y robo de sesiones de aplicaciones web

Abril, 2012

Omar Palomino
omarc320@gmail.com opalomino@kunak.com.pe

http://www.el-palomo.com