11セッションハイジャックこんばんわ!世間では徳丸試験といわれている、ウェブ・セキュリティ基礎試験に挑戦しようということで、いつものごとくアウトプットで記事にまとめていきます。今回は第十一回目のセッションハイジャックについてまとめます。第三者がセッション情報を入手する方法は3点です。→セッションIDの固定化脆弱性セッションハイジャックで起こること下記が起こる可能性があります。利用者IDによるメール、ブログ、投稿、設定の変更等URL埋め込みセッションセッションIDをクッキーに保存しないで、URLに埋め込む方法もあります。その場合、Referヘッダーを経由して、セッションIDが外部に漏れる可能性があります。Referが、URLの埋め込みのセッションを使え、外部サイトへのリンクがあるサイトが漏洩する可能性が高いです。セッションID固定化セッションIDを固定化にして運用していると、認証にて細工が可能となります。攻撃者が利用者としてログインしている状況を作れ、当該利用者として操作や情報抽出が可能になります。・クッキーにセッションIDを保存するここまでです。読んでいただきありがとうございました。8はてなブログをはじめよう!begginerkunさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。