🥠 Cookie Tossing: когда поддомен подбрасывает «левую» cookie

Cookie Tossing — малоизвестная, но серьёзная атака. Атакующий, контролирующий поддомен (например evil.example.com), устанавливает в браузере атакуемого cookie так, чтобы она применялась ко всему родительскому домену .example.com.

Когда атакуемый открывает account.example.com или любой другой поддомен, браузер автоматически отправляет поддельную cookie, и сервер может обработать именно её. Так можно, например, привязать OAuth-токен к учётной записи атакующего, сбросить настройки или подменить сессию.

📌Как это работает

Атака опирается на два параметра cookie:

* Domain определяет, на какие хосты отправляется cookie. Если указать Domain=example.com, она уйдёт на все поддомены.

* Path задаёт, к каким URL-ам применяется cookie. Более узкий путь (/settings/account) даёт ей приоритет над cookie с общим путём (/).

📌Как браузер выбирает cookie

Если в браузере есть две cookie с одинаковым именем, он включает обе в заголовок Cookie, а порядок определяется так:

1. Сначала идут cookie, чей Path точнее совпадает с путём запроса.

2. При одинаковом пути первой идёт более старая cookie.

Пример:

# cookie в браузере
session_cookie=<attacker>; Domain=example.com; Path=/settings/account
session_cookie=<victim>;   Domain=example.com; Path=/

# запрос к /settings/account
Cookie: session_cookie=<attacker>; session_cookie=<victim>

Большинство приложений используют первое значение, поэтому действие выполняется от имени атакующего.

📌Когда проверять на Cookie tossing

* У сайта есть поддомены, и на них можно внедрить пользовательский JS/HTML.

* Сессионная cookie выдаётся на весь домен (Domain=.example.com).

* Важные эндпоинты (/auth/callback, /settings/account, /billing) не защищены CSRF-токеном.

* Аутентификация основана только на cookie, без дополнительного заголовка или токена.

📌Как протестировать

1. Найдите XSS на поддомене.
2. Установите cookie с нужным Domain и «узким» Path:

document.cookie = "session_cookie=attacker_val; Domain=example.com; Path=/settings/account";

3. Если атакуемый переходит на account.example.com/settings/account и приложение выполняет действие в контексте атакующего либо подменяет сессию — уязвимость подтверждена.

Удачной охоты!

#техники #clientside