[hackmeeting] re: ejem ...

[CAIN!]

---------- Original Message -----------
From: RoMaNSoFt <r0man en phreaker.net>
To: "CAIN!" <cain en esware365.net>
Sent: Tue, 08 Oct 2002 04:24:49 +0200
Subject: Re: [hackmeeting] re: ejem ...

> On Tue, 8 Oct 2002 00:10:15 +0200, you wrote:
> 
> > Las implicaciones son obvias (no?). Bueno, a estas alturas ya no (la
> >sesion debio de expirar hace ya), pero ha habido una ventana de 
> >tiempo
> >en la q la URL de arriba era valida y supuestamente deberia de haber
> >dado acceso al correo de Cain :-)))
> 
>  Para empezar, nótese ese "supuestamente". No tengo cuenta en ese
> webmail (con lo q no se q parámetros post/get/cookies usa) ni tampoco
> voy a perder el tiempo estudiándolo.
> 
> >      A ver donde me pierdo, tienes un cgi, pero tienes la cookie??
> >      que yo sepa sin esa cookie no puedes acceder...
> 
>  Ya digo q no puedo asegurar nada pero...  la URL tiene toda la pinta
> de funcionar por sí sola, pq incluye un sessionid en una variable 
> GET. Normalmente en este escenario basado en sesiones, lo q importa 
> es el sessionid, el cual puede ir en diferentes sitios (no sólo 
> cookies). Y en este caso parece ir en una variable GET, por lo q 
> aparece en la URL de arriba, y es lógico pensar q dará acceso al 
> correo, siempre q la usemos mientras la sesión no haya caducado. 
  >  En fín, era un comentario. No te lo tomes a mal. Pero si no quieres
> quedarte con la duda haz la prueba: conéctate a tu correo hasta q
> llegues a una URL del tipo de la anterior (con el sessionid), y acto
> seguido accede desde otro ordenador  a esta URL, *sin haber cerrado 
> el primer navegador* y sin q haya transcurrido mucho tiempo (para q 
> la sesión no expire).


       Ya lo probe antes de escribir ;)
No se por que lo enviaste a la lista, si
lo hubieras enviado comentando lo que ahora detallas,al menos habria 
servido para que alguien aprendiera aunque sea solo un poco. No me lo tomo a 
mal, ya que no ha habido ningun problema ni se ha comprometido nada, pero 
piensa si a ti te gustaria que publicase aqui por donde puedo acceder a tu 
apache, que ya doy la respuesta aqui, ninguno ;) y que conste que ni me ha 
hecho falta probarlo.


> 
>  Si quieres, seguimos por privado, para no hacer ruido en la lista.
> 
>  Salu2,
>  --Roman

 El que debia haber sido privado es el primer mensaje que enviaste, no este. 
si ves necesario que sigamos en privado seguimos pero creo que no hace falta.

Bueno espero no haber sonado demasiado borde por que tampoco es mi intencion, 
pero si que entiendas mi punto de vista.
                                   Un saludo.Cain!
Quiz> PGP Fingerprint:
> 09BB EFCD 21ED 4E79 25FB  29E1 E47F 8A7D EAD5 6742
> [Key ID: 0xEAD56742. Available at KeyServ]
------- End of Original Message -------