PHP逆引き大全 516の極意

セキュアプログラミングの極意 - Tips457 セッション固定攻撃を理解する①

登録タグ
PHP
Icon comment count 0
Icon stock count 0

7-5安全なセッション管理Tips457 セッション固定攻撃を理解する①

Level2

PointPHP言語のセッション管理に潜む脆弱性に注意する

PHPは外部から送信されたセッションIDがあった場合、それが存在しないセッションIDであっても有効なものとして採用します。この特徴を利用することでセッションIDを強制し、なりすましが可能になります。この攻撃をセッション固定(Session Fixation)攻撃と呼びます。

例えばphp.iniが、

session.use_cookies = 0
session.use_only_cookies = 0
session.use_trans_sid = 1

上記の設定であった場合、特にセキュリティ対策がされていないサイトであれば、以下のようなURLでアクセスすることでセッションID「DUMMY」が有効なものとして扱われます。

http://website.example.jp/login.php?PHPSESSID=DUMMY

PHPのこの習性を利用して、攻撃者は下記の手順でターゲットになりすまします。

  1. 攻撃

出典情報

Medium

PHP逆引き大全 516の極意

  • 著者: 大家 正登, 茂木 健一, 鮫島 康浩, 谷中 志織

コメント

    コメントはありません