حالت موضوعی | حالت خطی

lolohacko

سلام.

یه سایت هست که با ASP.net طراحی شده و مثلا آدرسش http://victim.google.com هست و وقتی روی یکی از منوهای سایت کلیک میکنیم بدون اینکه آدرس در آدرس بار تغییر کنه به صفحه مورد نظر هدایت میشه.وقتی با Snifer روی سایت زوم کردم دیدم هر بار که به یه صفحه جدید میره یه seesion صادر میکنه و سشیون رو با یه فرمول خاص به انتهای آدرس اضافه میکنه و به صفحه مورد نظر میبره .

حالا میخوام بدونم چه جوری میشه بدون اینکه چندتا صفحه رو باز کنیم تا به مقصد برسیم سریعا session گرفته و به صفحه مورد نظر بریم؟

راستی چرا من هرجا کامنت سوال میزنم و یا جواب یه بدبختی رو میدم دره تاپیک تخته میشه؟ Amaze

**ha_60**

احتمالا ajax بوده از اون چیزی هم که گفتی سردر نیاوردم
روی firefox یه firebug نصب کن بعد کنسولش رو باز کن ببین چی می نویسه توش

lolohacko

مرسی هادی جان.

آره 100% ایجکس هست منتهی مثلا برای ورود به یک صفحه یک بار آدرس
"/main/main.cgi?LANGID=FARSI&SESSID=c5cfc367f64c50db6f1a7e210c193f8a"
وارد صفحه میشه و بار دیگه عدد جلو SESSID که همون session هست تغییر میکنه.

حالا میخوام تو php از یه صفحه مورد نظر این سایت استفاده کنم ولی برای ورود به این صفحه حتما باید یه session یا همون SESSID بگیرم ولی نمیدونم چه جوری باید این کارو بکنم؟

pashmaloo

اگر لاگین نخواد ، یکبار صفحه مورد نظرت را دانلود کن ، بعد توش را بگرد و sessid را پیدا کن .
اگر asp.net بود ، با کلاس webclient خیلی راحت میشد اینکار را کرد، اما اینجا را بلد نیستم.

lolohacko

مرسی پشمالوی عزیز. (;

بالاخره sessid رو گرفتم به هر بدبختی بود.
با سوکت با پرتوکل HTTP ارتباط برقرار کردم و session رو گرفتم ولی حالا یه مشکل جدید پیش اومده اونم اینه که هر بار که Query رو به سرور میفرستم وقتی session رو به من میده ارتباط رو قطع میکنه و این باعث میشه session اعتبارش رو از دست بده.

کد: 
GET /cgi-bin/home.cgi? HTTP/1.0

Host: victim.com

User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.1.5) Gecko/20091102 Firefox/3.5.5

Accept-encoding: gzip

Accept-language: en-us

مثلا این Query نتیجش اینه:

کد: 
SSID=1864270fa6cb404c0cb027c0dd67a401

و سرور اتوماتیک ارتباطش رو قطع میکنه و وقتی میخوام مثلا به صفحه Login برم باید توی ترکیب صفحه Login از این Session استفاده کنم که چون ارتباط سرور قطع شده پس Session اعتبارش رو از دست میده و با این Session نمیشه به صفحه Login رفت و اطلاعات رو با متد POST ارسال کرد.

میشه کاری کرد که سرور ارتباطش رو قطع نکنه و یا Session بعد از قطع شدن اعتبارش رو از دست نده؟

**babyy**

سلام

شما از کجا متوجه میشی سرور ارتباطش رو قطع میکنه ؟؟

lolohacko

سلام babyy عزیز.

والا 100% نمیدونم سرور ارتباطش رو قطع میکنه یا مشکل از جای دیگه هست که Session اعتبارش رو از دست میده.ولی حدس میزنم سرور هست که ارتباطش رو داره قطع میکنه.

مثلا وقتی تو فایرفکس صفحه اول سایت رو باز میکنم یه Session صادر میکنه که با اون تا زمانی که فایرفکس بازه میتونم به صفحه Login برم اما وقتی فایرفکس رو میبندم و یا مدت زیادی روی چیزی Click نمیکنم Session اعتبارش رو از دست میده ولی مثلا با NC وقتی ارتباط HTTP با سرور برقرار میکنم و صفحه اول سایت رو درخواست میکنم یه Session صادر میکنه ولی همون موقه اعتبارش رو از دست میده و نمیتونم User , password رو واسه صفحه Login بفرستم.

**babyy**

سلام

احتمالا یه جای کارو اشتباه میری ،
سایتش https نیست ؟؟
بقیه کوکی ها چک کردی ؟؟ شاید بازم کوکی ست میکنه که وقتی دستی خودت دریافت میکنی میفرستی ، اونا رو نمیفرستی ،

lolohacko

مرسی دوست من.

احتمال داره یه جایی دارم اشتباه میکنم ولی اصلا نمیفهمم کجای کار ایراد داره.

سایتش HTTPS نیست.
نه دیگه کوکی ست نمیکنه فقط همین یدونست.

این جوابیه که وقتی با NetCat باهاش ارتباط برقرار میکنم جواب میده:

کد: 
HTTP/1.1 200 OK

Date: Sun, 13 Dec 2009 21:07:32 GMT

Server: Apache/1.3.41 (Unix) mod_perl/1.27 mod_ssl/2.8.31 OpenSSL/0.9.8g

Content-Type: text/html; charset=ISO-8859-1

Connection: close

Set-Cookie: SESS-ID=4d9d6401e5c7eaf83f2c537d33869a35; path=/

 <html>

 <head>

 <META HTTP-EQUIV="CACHE-CONTROL" CONTENT="NO-CACHE">

 <META HTTP-EQUIV="PRAGMA" CONTENT="NO-CACHE">

 </head>

 <body onload="document.autopost.submit();">

 <form name='autopost' action='./victim' method='POST'>

 <input type=hidden name='SESSID' value='4d9d6401e5c7eaf8

3f2c537d33869a35'>

 <input type=hidden name='LANGID' value='FAR'>

 </form>

 </body>

 </html>

**babyy**

کد: 
<body onload="document.autopost.submit();">

<form name='autopost' action='./victim' method='POST'>

اینجا وقتی صفحه لود میشه ؛ session و میفرسته به victim/. ،
شاید اونجا بازم کار انجام میده ، مثلا کوکی ست میکنه ، یا یه session دیگه ...
session رو به victim/. بفرست ، ببین چی جواب میده

lolohacko

Session رو وقتی به victim/. میفرستم اخطار 302 میده و میخواد به یک صفحه دیگه بره.

کد: 
HTTP/1.1 302 Moved

Date: Sun, 13 Dec 2009 22:24:09 GMT

Server: Apache/1.3.41 (Unix) mod_perl/1.27 mod_ssl/2.8.31 OpenSSL/0.9.8g

Location: /

Content-Type: text/plain

Connection: close

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">

<HTML><HEAD>

<TITLE>302 Moved</TITLE>

</HEAD><BODY>

<H1>Moved</H1>

The document has moved <A HREF="/">here</A>.<P>

<HR>

<ADDRESS>Apache/1.3.41 Server at t1.victim.com Port 80</ADDRESS>

</BODY></HTML>

البته کاملا این حرف شما درسته که باید Session رو به victim/. بفرستم خودمم اولش همین فکرو میکردم ولی نمیدونم چرا اینجوری میشه؟

حالت موضوعی \| حالت خطی SESSID
نویسنده	پیام