# Podpis ciasteczka

Narzędzie [https://github.com/DigitalInterruption/cookie-monster](https://github.com/DigitalInterruption/cookie-monster) jest narzędziem do automatyzacji testowania i ponownego podpisywania tajemnic ciasteczek Express.js.

### Jedno ciasteczko o określonej nazwie
```bash
cookie-monster -c eyJmb28iOiJiYXIifQ== -s LVMVxSNPdU_G8S3mkjlShUD78s4 -n session
```
### Własna lista słów

Jeśli chcesz przeprowadzić atak słownikowy na aplikację Node.js Express, możesz skorzystać z własnej listy słów. Lista ta zawiera potencjalne hasła, które mogą zostać wykorzystane do próby złamania hasła użytkownika lub odkrycia poufnych informacji.

Aby utworzyć własną listę słów, możesz skorzystać z różnych źródeł, takich jak popularne hasła, słowa związane z branżą, imiona, daty urodzenia itp. Ważne jest, aby lista była dobrze zróżnicowana i zawierała różne kombinacje znaków, aby zwiększyć szanse na sukces.

Po utworzeniu listy słów możesz użyć narzędzi takich jak Hydra lub Burp Suite do przeprowadzenia ataku słownikowego na aplikację Node.js Express. Narzędzia te automatyzują proces testowania wielu haseł, sprawdzając, czy któreś z nich pasują do kont użytkowników lub innych zabezpieczonych obszarów aplikacji.

Pamiętaj, że atak słownikowy jest jedną z podstawowych technik stosowanych w testach penetracyjnych, dlatego warto zabezpieczyć aplikację przed takimi atakami, na przykład poprzez wprowadzenie polityki silnych haseł, blokowanie prób logowania po wielokrotnym nieudanym logowaniu itp.
```bash
cookie-monster -c eyJmb28iOiJiYXIifQ== -s LVMVxSNPdU_G8S3mkjlShUD78s4 -w custom.lst
```
### Testuj wiele plików cookie za pomocą trybu wsadowego

Aby przetestować wiele plików cookie za pomocą trybu wsadowego, możesz użyć narzędzia do testowania podatności na stronach internetowych, takiego jak Burp Suite. Poniżej przedstawiono kroki, które należy podjąć:

1. Zbierz listę plików cookie, które chcesz przetestować.
2. Uruchom narzędzie Burp Suite i skonfiguruj przeglądarkę internetową, aby korzystała z proxy Burp Suite.
3. Przejdź do zakładki "Proxy" w Burp Suite i włącz tryb przechwytywania.
4. Otwórz przeglądarkę internetową i wykonaj żądania, które spowodują ustawienie plików cookie.
5. Przejdź do zakładki "HTTP history" w Burp Suite i zaznacz żądania, które chcesz przetestować.
6. Kliknij prawym przyciskiem myszy na zaznaczone żądania i wybierz opcję "Send to Intruder".
7. W Intruderze skonfiguruj zakładkę "Positions", aby wskazać miejsca, w których znajdują się pliki cookie.
8. Przejdź do zakładki "Payloads" i skonfiguruj zestaw payloadów, które chcesz przetestować.
9. Uruchom atak, aby przetestować wszystkie pliki cookie jednocześnie.

Po zakończeniu ataku możesz przejrzeć wyniki i zidentyfikować ewentualne podatności związane z plikami cookie. Pamiętaj, że przeprowadzanie testów na stronach internetowych bez zgody właściciela jest nielegalne i narusza zasady etyczne. Wykonuj testy tylko na systemach, na których masz uprawnienia i zgody.
```bash
cookie-monster -b -f cookies.json
```
### Testuj wiele plików cookie za pomocą trybu wsadowego z niestandardową listą słów

Aby przetestować wiele plików cookie za pomocą trybu wsadowego z niestandardową listą słów, możesz użyć następującego polecenia:

```bash
$ wpscan --url http://example.com --batch --wordlist custom_wordlist.txt
```

Upewnij się, że podmieniasz `http://example.com` na adres URL docelowego serwisu, a `custom_wordlist.txt` na ścieżkę do twojej niestandardowej listy słów.

To polecenie wykorzystuje narzędzie `wpscan` do przetestowania plików cookie na stronie internetowej. Parametr `--url` określa adres URL docelowego serwisu. Parametr `--batch` włącza tryb wsadowy, który automatycznie przeprowadza testy na podstawie listy słów. Parametr `--wordlist` wskazuje ścieżkę do niestandardowej listy słów, którą chcesz użyć.

Podczas wykonywania tego polecenia narzędzie `wpscan` automatycznie przetestuje każde słowo z listy na plikach cookie, aby znaleźć potencjalne podatności lub słabe hasła.
```bash
cookie-monster -b -f cookies.json -w custom.lst
```
### Koduj i podpisuj nowe ciasteczko

Jeśli znasz sekret, możesz podpisać ciasteczko.
```bash
cookie-monster -e -f new_cookie.json -k secret
```