Advanced Web Application

 

Lab 10: Subverting HMAC 

 

To try this attack on the provided Virtual Machine, perform the below. 

▪  cd /home/developer/Downloads/nodejs_hacking/hackme 

▪  ./setup.sh 

A sample application will be available at 127.0.0.1:3000. 

 

On 127.0.0.1:3000/admin you will come across the following. 

 

 

By intercepting the requests we notice two cookies: 

▪  session=eyJhZG1pbiI6Im5vIn0= 

▪  session.sig=wwg0b0z2AQJ2GCyXHt53ONkIXRs 

 

Base64-decoding the session cookie reveals, {"admin":"no"}. Maybe changing this to yet will 

allow us to login. Unfortunately that is not the case because the cookie is 

HMAC

-protected. 

---

 

 

© 2020 Caendra Inc. | WAPTXv2 

55 

Let’s study the source code to get a better feel of the application. 

By studying, app.js we notice that the NodeJS app uses cookie-session var session = require('cookie-

session'), which has a dependency to cookies, which has a dependency to keygrip. And keygrip does 

the HMAC signature by using the node core crypto package. crypto creates a Buffer from the key. 

Remember this last part… 

 

The config.js file contains dummy session_keys. Based on our code analysis above, those keys should 

be used to generate the HMAC for the cookies.