mixiのセッションハイジャック脆弱性について - 悪あがきプログラマー

cookieについて色々調べていて、大手サイトではどうやってるんだろう？とお手本にしようと思ったら脆弱性だった件。 cookieに保存されているセッションキーにhttponly属性が付いてなかった。 これは何が問題か？ mixiにログインした状態で下記JavaScriptをURL欄にコピペして試してみてほしい。 javascript:alert(document.cookie) モダンなブラウザは頭の"javascript:"がコピペ出来ないようになっているので手打ちしてください。ちなみにこのJavaScriptはブラウザで開いているサイトのcookieをアラートで表示するだけなので特に問題ありません。 "session"というキーののcookieが抜けたはず。はい、セッションキーが抜けてしまいました。セッションキーが抜けるともちろんアカウント乗っ取りが可能。試しに別ブラウザを立ち上げて上