セッションデータインジェクション
(Last Updated On: 2018年8月13日)PHP 5.6.25/7.010以降で修正されたセッションデータインジェクション Fixed bug #72681 (PHP Session Data Injection Vulnerability). (CVE-2016-7125) の解説です。 この脆弱性を利用するとオブジェクトインジェクションが簡単に行えます。結構深刻な問題ですが、あまり話題にはなっていないように思います。 最初にこのエントリを書いた時にはレガシーコードの残骸を読み間違えて、幅広い影響があると勘違いしていました。現在のPHPでは値が設定されていないセッション変数は定義できないので、影響するケースは”セッション変数を制御できる状態”に限られます。このレガシーコードの残骸は必要ないので以下の修正をPHPのmasterブランチにコミットする予定です。 https:/
セッションのクッキーを設定する場合のベストプラクティス
(Last Updated On: 2018年8月18日)HTTPセッションは通常クッキーを利用して行います。クッキーを利用したセッションの場合、お薦めする設定は以下の通りです。 ドメイン名は指定しない パスはルート(/)を指定する セッション管理用のクッキーはセッションクッキー（有効期間０）にする httponly属性を付ける 可能な場合は必ずsecure属性をつける 複数アプリケーションを利用する場合はsession.nameまたはsession_name()でセッションクッキー名で指定する （アプリケーションの固有名デフォルトで設定し、設定項目として変更できるようにする） 3まではPHPデフォルト設定です。4から6までは自分で設定しなければなりません。PHPの場合、すべてphp.iniで指定できます。session_set_cookie_params()でセッション開始前に指定すれば
CGI::Session.pmでセッション管理
はじめに perlでCGI::Session.pmを使ってセッション管理を行う．idの生成・抹消をはじめ，セッション管理に必要な様々な機能を提供してくれ，非常に便利である． CGI::Session.pmは必要なデータをサーバに置く．すなわち，セッションidを生成した後，サーバ内にidに対応するファイル（DBを指定することも可能）を生成する．セッションで必要なデータはサーバのファイルに保管し，プログラム間を行き来するのはセッションidのみである． CGI.pmも一緒に使うと利便性はさらに高くなる． 動作環境 動作環境は以下の通りである．Windows XP上でWindows版のApache，cygwin版のperlが動いている． Windows XP Professional Apache 2.0.48（Windows版） cygwin 1.5.7-1 perl 5.8.0 インストール
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
