Leer una sesión de navegación guardada

El archivo de sesión que exportan los navegadores (conocido como HAR) es un JSON con una entrada por petición: método, URL, cabeceras, cookies, cuerpo enviado, respuesta, tiempos e iniciador. Es justo lo que el auditor necesita para reconstruir un flujo sin repetirlo. Pero contiene lo mismo que vio el navegador: cookies de sesión vigentes, contraseñas escritas en formularios, cabeceras de autorización y datos personales en las respuestas.

Abre entrada-05.json, que es una entrada en su forma original, y mira qué lleva dentro el campo del cuerpo enviado y las cabeceras de la respuesta.

La pregunta de la empresa está en encargo-sesion.txt: quiere saber si algún dato de las clientas llega a un tercero, y dice qué puede recibir cada uno según su contrato. Abre sesion-tabla.txt y lee las URL de los hosts que no son de la empresa, con sus parámetros. Recuerda que %2F es una barra y %40 una arroba.

Un buen informe da la proporción, no solo el ejemplo: cuántas peticiones de la sesión salen hacia hosts que la empresa no controla. Para contarlas, separa por el dominio registrado de cada URL: todo lo que termina en .discos-almagre.example es de la empresa, sea cual sea el subdominio.

La columna de iniciador dice qué causó cada petición: la barra de direcciones, un enlace, un formulario, una hoja de estilo o una línea concreta de un script. Es la columna que convierte un hallazgo en un arreglo: si la petición que filtra el dato la dispara un script del propio sitio, la corrección está en el código de la empresa y no en el tercero. El número después de los dos puntos es la línea del archivo.

Con la entrada, el host, el parámetro y el iniciador, el hallazgo está completo: la tienda envía el correo de la clienta a un tercero que, según su contrato, solo debía recibir la página visitada. El informe tiene que decir qué se cambia y quién lo hace. El dato ya enviado no vuelve solo: además del arreglo en el código, alguien tiene que pedirle al proveedor que borre lo que recibió, y eso lo decide la empresa, no el auditor.