¿Qué es la fijación de sesión?

¿Quieres descubrir qué es la fijación de sesión y para qué se utiliza en hacking web?

Las auditorías de aplicaciones web son algunos de los servicios más demandados del área de la seguridad informática. Para realizar estas auditorías, expertos en hacking web ponen a prueba la aplicación por medio de ciberataques controlados y completamente autorizados. A esta técnica se le conoce como test de penetración y es indispensable para encontrar vulnerabilidades dentro de una aplicación.

Entonces, el hacking ético de aplicaciones web consiste en atacar páginas con el consentimiento de sus dueños, con el fin de identificar todos sus posibles fallos de seguridad. Dentro de estos fallos, algunos de los más frecuentes se pueden encontrar en las páginas de inicio de sesión de las aplicaciones. Por eso, en pentesting web es importante poner a prueba la seguridad de estas páginas.

Uno de los ciberataques más comunes, que se basa en vulnerabilidades de inicio de sesión, consiste en el robo de tokens de sesión de los usuarios. Existen diferentes métodos y propósitos para estos ataques. Sin embargo, en este post, hablaremos específicamente sobre uno de ellos. A continuación, te explicaremos qué es la fijación de sesión y por qué se utiliza para atacar entornos web.

¿Qué es la fijación de sesión?

La fijación de sesión es una técnica de hacking web que se utiliza para forzar a un usuario a iniciar sesión con un token escogido por el atacante; asimismo, se puede usar para iniciar sesión en una aplicación por medio del token de un usuario cuya sesión esté activa. Para ello, es necesario obtener dicho token, que, en otras palabras, son las cookies asignadas por el servidor para permitirle a un usuario mantener su sesión iniciada.

Los tokens o cookies de sesión son valores que asignan los servidores para que los usuarios no tengan que iniciar sesión cada vez que le envían una nueva petición a la página web. Es decir, sirven para autenticar a los usuarios de forma automática. No obstante, dichas cookies se pueden considerar como credenciales sensibles. Por lo tanto, si un atacante las roba, se pueden usar para acceder a la cuenta y, por ende, a los permisos de un usuario.

¿Cómo hacer una fijación de sesión?

Ya hemos visto qué es la fijación de sesión. A continuación, te enseñaremos cómo hacer una de práctica en un entorno legal para hacking web. Recuerda que la técnica que veremos ahora debe utilizarse en entornos web de práctica o con la total autorización de los dueños de la aplicación. Hacer una auditoría un ciberataque web se considera ilegal siempre que no se cuenten con los debidos permisos para hacerlo.

Para hacer una fijación de sesión:

1. Crea o abre una máquina virtual con Kali Linux instalado.
2. En esta máquina virtual, instala la aplicación DVWA, que se desarrolló con vulnerabilidades a propósito.
3. Ahora, desde cualquier navegador web, ingresa a la página de inicio de sesión de DVWA y accede con las credenciales predeterminadas: “admin” y “password“.
4. Luego, instala en ese navegador la extensión Cookie Quick Manager y ábrela para ver el token de sesión que te ha asignado el servidor.
5. Después, en tu máquina virtual con Kali, abre un nuevo navegador e instala la misma extensión que en el paso anterior.
6. Finalmente, copia la URL del navegador con el que has iniciado sesión en la app y pégala en el navegador de Kali.
7. Por último, copia y pega también el token de sesión de la página web con la sesión iniciada por medio de la extensión Cookie Quick Manager.

Si quieres saber más sobre qué es la fijación de sesión y cómo ejecutarla, en KeepCoding tenemos una formación intensiva ideal para ti, ya que te permitirá aprender de forma teórica y práctica con la guía de profesionales en el sectr. Ingresa a nuestro Ciberseguridad Full Stack Bootcamp y conviértete en todo un especialista en solo 7 meses. ¡Pide ahora más información!