Cookies Manager+, o por su traducción al español "Gestor de Cookies", permite editar y crear nuevas cookies. También muestra información adicional sobre las Cookies, permitiendo editar varias cookies a la vez y respaldarlas o restaurarlas. Este add-on está disponible para Firefox.

Una vez instalado Cookies Manager+, este puede ser accedido mediante “Botón App -> Web Developer -> Cookies Manager +” o mediante “Tools -> Cookies Manager +”.

¿Qué es una Cookie?

Una Cookie es una pequeña pieza de datos enviados desde el sitio web y almacenada en el navegador web del usuario mientras el usuario navega en el sitio web. Cada vez que el usuario carga el sitio web, el navegador envía la Cookie de retorno al servidor para notificar al sitio web sobre la actividad previa del usuario. Las principales funciones de una Cookie usualmente son el de ser utilizadas como un token de autorización y autenticación o como un contenedor de datos temporales.

¿Qué es OWASP Mutillidae?

Es un aplicación web libre y open source deliberadamente vulnerable que proporciona un objetivo de evaluación para los entusiastas en seguridad web. Mutillidae puede ser instalado en GNU/Linux y Windows utilizando LAMP, WAMP, y XAMMP. Y ya viene pre instalado en Samurai-WTF, Metasploitable 2 y OWASP BWA.

Para la siguiente práctica se utilizará NOWASP (Mutillidae), es por ello la mención realizada en el párrafo anterior.

Utilizando un navegador web como Firefox se ingresa a la opción “Login/Register”, para luego escribir los datos de autenticación pertinentes.

Luego de hacer clic en el botón “Login” del formulario de autenticación de Mutillidae, se ha ingresado a la aplicación. Notar el texto ubicado en la parte superior derecha “Logged in User: John”, donde se indica que se ha realizado un registro válido en la aplicación utilizando el usuario de nombre “John”.

Se apertura Cookies Manager+ y se aplica un filtro en base a la dirección IP donde reside el objetivo de evaluación (Mutillidae). La prueba se realizará con la información de la Cookie resaltada en color celeste.

Al hacer doble clic sobre la Cookie seleccionada, se abrirá una nueva ventana con la información detallada de la Cookie. En este caso el nombre “uid” se percibe bastante descriptivo, dado que sugiere corresponder a un “User IDdentification” o Identificador del Usuario.

La pregunta es; ¿Que sucede si se cambia el valor actual 3 por un 1?. La razón de elegir el número 1 se debe a la existencia de escenarios donde el primer usuario creado o definido en una aplicación web, corresponde a un usuario con los máximos privilegios como un administrador del sistema.

Para que los cambios realizados en la Cookie sean efectivos se debe presionar el botón “Save” o Guardar.

De regreso a la aplicación web objetivo (Mutillidae), se procede a refrescar la página web. Luego de lo cual es factible observar y leer en la parte superior derecha de la aplicación web el texto “Logged In Admin: admin (root)”. Lo cual indica que ahora se está autenticado con el usuario “Admin”, el cual tiene los máximos privilegios en el sistema. Y todo esto sencillamente con analizar y manipular los datos almacenados en la Cookie.

Las Cookies son con frecuencia un vector de ataque clave para los usuarios maliciosos; teniendo típicamente como objetivo a otros usuarios; por lo tanto la aplicación web debe siempre tomar las medidas pertinentes para proteger las Cookies.

Fuentes:

https://addons.mozilla.org/en-US/firefox/addon/cookies-manager-plus/
http://en.wikipedia.org/wiki/HTTP_cookie
https://www.owasp.org/index.php/Testing_for_cookies_attributes_%28OWASP-...
http://sourceforge.net/projects/mutillidae/