セッションフィクセイション脆弱性の影響を受けやすいサイトとは

最近、セッションフィクセイション脆弱性に対する関心がなぜか高まっています。同脆弱性は割合地味な脆弱性であり、話題になることはあまりありません。そこで、関心の高いこの時期に、セッションフィクセイション脆弱性の影響を受けやすいサイトについて説明し、注意を喚起したいと思います。 セッションフィクセイション脆弱性とは セッションフィクセイション（セッションIDの固定化）脆弱性は、なんらかの方法で利用者（被害者）のブラウザ上でセッションIDを強制的に指定して、その後利用者がログインしたタイミングで、攻撃者が「ログイン済みのセッションID」を知ることができるという脆弱性です。「安全なウェブサイトの作り方(改訂第五版)」P17から図を引用します。 図の「2.何らかの方法で自分が取得したセッションIDを利用者に送り込む」手法は、安全なウェブサイトの作り方では説明されていません。そこで、以下に「セッションI

[ir_takt]

セッションIDを利用者に送り込む手法 (1)URL埋め込みのセッションID付きリンクを踏ませる (2)IEのクッキーモンスター利用 (3)XSSやHTTPヘッダinjectionによるCookie送り込み(同ドメイン別ホストの脆弱性も利用可能)

[Rockridge]

セッションIDの固定化（Session Fixation）と呼ばれる脆弱性の解説

[kebo1213]

後で読む

[kutakutatriangle]

今読んでる徳丸本に書いてあることの復習になるなー。徳丸本オススメ。

[tiadeen2]

この記事の具体的な攻撃手法が2009年のコレ→ http://d.hatena.ne.jp/ockeghem/20090130/p1 対策はこの記事中か徳丸本に書いてあるよ。

[JULY]

対策は徳丸本 19 ページ参照。