Телеграмм чат группы WebPwnChat страница 2407

Оо, помню как в одном магазине сессия генерилась на основе timestamp 😄

11:37пожаловаться #1

GD

Green Dog in WebPwnChat

Мне кажется, что сессионные идентификаторы генерятся на основе ГПСЧ (как в пыхе например), хранятся внутри, а потом уже сравнивают клиента и серверный секрет, а скрафтить самому ничего не выйдет

звучит похоже на это

11:38пожаловаться #2

MM

Maxim Maximov in WebPwnChat

Мне кажется, что сессионные идентификаторы генерятся на основе ГПСЧ (как в пыхе например), хранятся внутри, а потом уже сравнивают клиента и серверный секрет, а скрафтить самому ничего не выйдет

Про гспч понятное дело, но может есть какая-то техника Крафта сессии кроме папки с примерами в томкате..

11:38пожаловаться #3

MM

Maxim Maximov in WebPwnChat

На то оно и сессии, а не jwt. Весь Стейт это данные внутри файла/базы и если пользак предъявляет айдишку, то его авторизует. Это понятно. Но бывают интерфейсы для прописывания подобного на сервер

B

B

... надо смотреть исходник механизма сессии

11:42пожаловаться #6

B

/**
     * Queue of random number generator objects to be used when creating session
     * identifiers. If the queue is empty when a random number generator is
     * required, a new random number generator object is created. This is
     * designed this way since random number generators use a sync to make them
     * thread-safe and the sync makes using a single object slow(er).
     */
    private final Queue<SecureRandom> randoms = new ConcurrentLinkedQueue<>();

    private String secureRandomClass = null;

    private String secureRandomAlgorithm = "SHA1PRNG";

    private String secureRandomProvider = null;

Ууу

11:44пожаловаться #7

B

Если я вообще то открыл, но там одни криптостойкие рандомы

11:46пожаловаться #8

VP

Vladimir 0D0A Polyak... in WebPwnChat

Если я вообще то открыл, но там одни криптостойкие рандомы

недавно видел забавный кейс в Go, когда мало того что использовали не crypto/rand, а math/rand, так еще и не смогли правильно прописать seed.
В итоге в приложении цифровой OTP генерился вот так (если не очевидно, запустите код на примере несколько раз и посмотрите резалт):

https://tour.golang.org/basics/1

11:49пожаловаться #9

B

Vladimir 0D0A Polyakov\x00

недавно видел забавный кейс в Go, когда мало того что использовали не crypto/rand, а math/rand, так еще и не смогли правильно прописать seed.
В итоге в приложении цифровой OTP генерился вот так (если не очевидно, запустите код на примере несколько раз и посмотрите резалт):

https://tour.golang.org/basics/1

У ПТ классный доклад был на кораблике defcon russia

11:50пожаловаться #10

VP

Vladimir 0D0A Polyak... in WebPwnChat

У ПТ классный доклад был на кораблике defcon russia

че то так сходу не ищется по ключевым словам

11:51пожаловаться #11

B

Vladimir 0D0A Polyakov\x00

недавно видел забавный кейс в Go, когда мало того что использовали не crypto/rand, а math/rand, так еще и не смогли правильно прописать seed.
В итоге в приложении цифровой OTP генерился вот так (если не очевидно, запустите код на примере несколько раз и посмотрите резалт):

https://tour.golang.org/basics/1

Там тоже seed был
1) он был один на всех
2) задавался при старте системы
3) был timestamp'ом запуска приложения
4) в твиттере писали когда сервер перезагрузился

11:51пожаловаться #12

B

Ща найду

11:51пожаловаться #13

MM

Maxim Maximov in WebPwnChat

С хреновым гспч в жизни видал норм пример)

11:51пожаловаться #14

B

Там тоже seed был
1) он был один на всех
2) задавался при старте системы
3) был timestamp'ом запуска приложения
4) в твиттере писали когда сервер перезагрузился

@prosailor мы тут тебя вспоминаем, кинь презу

11:52пожаловаться #15

B

А не, в интернетах есть

11:52пожаловаться #16

B