# Secuestro de sesión

> Robar el pase que te da un sitio al iniciar sesión para que el ladrón entre como vos.

- Nivel: Intermedio
- Temas: Seguridad
- URL: https://tidbit.legios.com.ar/es/session-hijacking/
- En inglés: [Session hijacking](https://tidbit.legios.com.ar/session-hijacking/)

Cuando iniciás sesión en un sitio, no mandás la contraseña en cada clic. El sitio la verifica una vez y le da a tu navegador un **token de sesión**, casi siempre guardado en una cookie: un texto largo al azar que quiere decir "esta persona ya entró". Cada pedido siguiente lo lleva y el sitio te deja pasar. El **secuestro de sesión** es robar ese token. Quien lo tenga es tratado como vos, sin necesidad de contraseña.

Lo más feo es que también se saltea la autenticación de dos factores, porque el segundo factor ya se pidió al entrar. Por eso a los atacantes les encanta. La vía más común hoy es el malware tipo **infostealer**: un mod trucho de un juego, un programa crackeado o una descarga con trampa copia en silencio las cookies guardadas en tu navegador y las manda afuera. Otras vías son fallas de cross-site scripting que dejan que un script lea la cookie, o una conexión sin cifrar que alguien en el medio puede espiar.

Los sitios se defienden con varias capas. Las cookies marcadas como `HttpOnly` no las pueden leer los scripts de la página, y las `Secure` solo viajan por HTTPS. Las sesiones vencen, y una acción delicada como cambiar el email o mandar plata te vuelve a pedir la contraseña. Muchos servicios además vigilan si una sesión aparece de golpe desde otro país u otro dispositivo. De tu lado sirve: cerrar sesión en computadoras compartidas, usar 'cerrar todas las sesiones' si algo te parece raro y no instalar programas de fuentes dudosas.

## Una analogía

La pulsera de un recital. En la puerta te piden el documento una vez y después solo miran la pulsera. Si alguien te la corta y se la pone, pasa por los controles como si fuera vos.

## Para quedarse

- Después de entrar, un token de sesión guardado en una cookie dice quién sos en cada pedido.
- Robarlo se saltea la contraseña y también la autenticación de dos factores.
- Hoy la vía más común es un malware infostealer que copia las cookies del navegador.
- 'Cerrar todas las sesiones' invalida tokens robados; las cookies HttpOnly y Secure lo hacen más difícil.

## Para seguir leyendo

- [Secuestro de sesión en Wikipedia](https://es.wikipedia.org/wiki/Secuestro_de_sesi%C3%B3n)
- [Session hijacking attack (OWASP, en inglés)](https://owasp.org/www-community/attacks/Session_hijacking_attack)

## Términos relacionados

- [Navegador web](https://tidbit.legios.com.ar/es/web-browser/): La app que trae páginas web desde internet y las dibuja en tu pantalla.
- [Token](https://tidbit.legios.com.ar/es/token/): El pedacito de texto que un modelo de lenguaje realmente lee.
- [Cookies](https://tidbit.legios.com.ar/es/cookies/): Notitas que un sitio le pide a tu navegador que guarde, para reconocerte después.
- [Autenticación de dos factores](https://tidbit.legios.com.ar/es/two-factor-authentication/): Una segunda prueba de que sos vos, para que una contraseña robada no alcance.
- [Malware y ransomware](https://tidbit.legios.com.ar/es/malware-and-ransomware/): Software hecho para dañarte; el ransomware te bloquea los archivos y cobra por liberarlos.
- [Cross-site scripting](https://tidbit.legios.com.ar/es/cross-site-scripting/): Meter código en un sitio web para que se ejecute en los navegadores de otros visitantes.
- [Cifrado](https://tidbit.legios.com.ar/es/encryption/): Mezclar datos para que solo quien tiene la clave pueda leerlos.
- [HTTPS](https://tidbit.legios.com.ar/es/https/): El candadito del navegador: tráfico web que nadie en el medio puede leer.