Padding Oracle Techniques - Pentesting Web
Allons créer un utilisateur sur le site web :
Voici le cookie de session qui est fragmenté et que nous essaierons de déchiffrer :
Avec l'outil PadBuster, nous enverrons le lien avec le cookie de session et son nom de la manière suivante :
Il nous renvoie la valeur du cookie en texte clair :
Si au lieu de mettre user=jordan, nous l'encryptons en user=admin, cela nous donnera le cookie de session admin (s'il existe). Avec PadBuster, nous renvoyons la commande mais cette fois-ci que nous connaissons le texte en clair avec -plaintext, nous lui indiquons le contenu que nous voulons chiffrer en utilisant le même oracle de la manière suivante :
Il nous donne le cookie de session admin :
Mis à jour
Ce contenu vous a-t-il été utile ?