おさかなラボ - strictなシステムに対するSession Fixation対策

Session Fixationについては話題になって久しいので今さら解説するまでもないと思う。……と思ったらそうでもなさそうなのでちょっと書いてみる。 Session Fixationとは何か 一般に、Session Fixationとして話題にのぼるのは、PHPなどにおける以下のような手法である。 http://www.example.com/index.php?PHPSESSID=abcde こうすることで、(対策の取られていない)PHPは、セッションIDを’abcde’と解釈してしまう。セッションIDは本来サーバーが発行するはずのものであるが、URIに埋め込むことでクライアント側からセッションIDを指定することが出来てしまうものである。 この「セッションIDが任意のものに設定可能である」ことを利用した攻撃をSession Fixation攻撃と呼ぶ……と解釈している人は以

[takun71]

これでOKかな？試してみる

[mingos]

PHPのSession Fixationについての解説と対策

[Seacolor]

脆弱性対策

[rhosoi]

ブラウザ識別用のセッション（トラッキング用のセッション）とログインセッションを共用にしてたり関連させ