monjudohのブックマーク - はてなブックマーク

monjudoh id:monjudoh

ブックマーク / blog.ts5.me (2)

他人のCookieを操作する - T.Teradaの日記
脆弱性検査をしていてしばしば出くわすのは、他人のCookieの値を操作できるとXSSやセッション固定等の攻撃が成功するようなWebアプリケーションです。このようなアプリがあると、業界的には「Cookie Monsterという問題がありまして、、、でも、、、基本的に現状のブラウザではリスクは低いです」みたいな話がされることが多いのではないかと思います。本日の日記では、それ（Cookie Monster）以外にも状況によっては考慮すべきことがある、という話をしたいと思います（過去の日記でも少し書いた話ですが、もう少しちゃんと書いておこうと思います）。通信経路上に攻撃者がいる被害者のブラウザとサーバの通信経路上に、アクティブな攻撃者がいると想定しましょう。そのような状況では、攻撃者は正規のサーバになりかわってブラウザと通信をしたり、ブラウザと正規のサーバで交わされる通信に介入することが
monjudoh 2011/02/13
『通信経路上に攻撃者がいる』野良WiFiスポットを考えると現実的。で、偽のhttpのサイトでcookieを設定して、本物のhttpsのサイトにさっき設定したcookieを持った状態でアクセスさせるわけか。

セキュリティ

cookie
リンク
[セキュリティ]httponlyは普及するのか (2006-12-26 - T.Teradaの日記)
Firefox2でもhttponlyが使えるという話を耳にしました。 httpOnly - Firefox Add-ons*1 httponlyがいよいよ普及するか？というのでネタにしてみます。なお、この日記は、WinXP＋IE6SP2環境を前提として書きました。はじめに httponlyは、XSS脆弱性がある状況においても、cookieを窃取されないようにすることを狙ったIEの独自機能です。 MSDN - Mitigating Cross-site Scripting With HTTP-only Cookies この機能を有効にするためには、発行するcookieにhttponly属性を付けます。 Set-Cookie: key=value; domain=example.com; HttpOnly httponly属性が付けられたcookieは、JavaScriptのdocume
monjudoh 2010/08/13
『JavaScriptのdocument.cookieで拾えなく』なるcookie。2010/08現在IEだけじゃなくて、Firefox,Safari,Google Chromeの最新版で対応しているもよう。デファクトスタンダードになった?他は非対応というわけじゃなくて調べてないだけ。

セキュリティ

cookie
リンク
1