English • Deutsch • Français • Nederlands • Español • Italiano • Português • Русский • 中文 • 한국어 • हिन्दी • తెలుగు • मराठी • தமிழ் • Türkçe • Ελληνικά • Polski • Čeština • Magyar • Svenska • Dansk • Suomi • Українська • العربية • Indonesia

Session Fixation Attack

セッションフィクセーション攻撃とは、ウェブアプリケーションのセキュリティ上の弱点を悪用する攻撃の一種です。この攻撃では、攻撃者はターゲットを誘導して、指定したセッションIDを使用するようにします。この手法は、攻撃者が有効なセッションを導入し、その後、攻撃者が操作するために適用されます。攻撃者は、被害者のアカウントにアクセスし、重要な情報を盗むことができます。 このような攻撃を行うためには、攻撃者はウェブアプリケーションにアクセスし、正常なユーザーと同じセッションIDを取得する必要があります。これは、セッションIDが予測可能である場合に可能です。攻撃者は、指定したセッションIDを誘導された被害者に与え、それ以降のユーザーセッションは、攻撃者によって制御されます。 この攻撃に対する防御策には以下のようなものがあります。

  • CookieのSecureおよびHttpOnly属性を設定する。
  • セッションIDをリクエストごとにランダムに生成する。
  • セッションタイムアウトを短くする。
  • ログイン失敗のときにセッションを無効にする。