Fixation攻撃入門やぁ、みんな,元気?とくまるひろしです。Fixation攻撃の方法をこっそり教えちゃうよ。いつもは防御側で漢字の名前でやってるんだけど,きょうは攻撃側ということで,名乗りもひらがなに変えたんだ。今度デブサミでご一緒するはせがわようすけさんとか,はまちちゃんとか,ひらがなの人たちの方が格好良さそうじゃないか。このエントリは、はてなダイアリーの過去のエントリの転載です。標的ユーザ大まかな手順セッションIDを準備するセッションIDを強制してサイトに誘導する罠に掛かるのを見張るセッションハイジャックするそれでは,やってみようセッションIDを準備するこれは二つの方法があるよ。ふつーなのは,標的サーバーを閲覧してそこで発行されたセッションIDを記録することだね。ふつーはこれでいける。サイトに行っただけでセッションIDが発行されるからね。セッションIDはCookieとかにPHPSESSIDとかJSESSIONIDのように,SESSやSESSIONとIDを組み合わせた名前であることが多い。値は英数字を組み合わせた乱数のようになっているはずだ。サイトにログインしないとセッションIDが発行されない場合がある。無料で会員になれるサイトだったら,会員になってログインすればいい。セッションIDを記録したらログアウトしておいた方がいいかな。この時セッションIDがつけなおされていたら,そのサイトの攻撃は難しいと思うよ。簡単に会員になれないサイトの場合はどうするか。その場合は,適当に英数字の組み合わせでセッションIDを作る。そんなんでうまくいくかって?うまくいかないこともあるんだけど,PHPで書いてあるサイトなら大丈夫。これで,セッションIDの準備は終わりだよ。Fixation攻撃のキモだね。Fixationって言うくらいだから,強要が大事なんだ。セッションIDを強要する方法はいくつかあるけど,簡単なものから順に説明するね。(1)URL埋め込みのセッションIDを使うPHPやJavaなんかだと,セッションIDをURLに持てるんだよ。設定にもよるんだけどさ。ブラウザのCookieをオフにして,そのサイトを使ってみる。URLにPHPSESSIONIDとかJSESSIONIDとか出てきたらしめたものだ。そのURLをそのままメールにコピペして,標的ユーザに送りつける。一人二人じゃだめだぜ。