セッションIDの変更 - ログ日記
Javaの標準ではPHPのsession_regenerate_id()のような仕組みは無いのかな？ コメントより 詰め替えしてinvalidate()するInterfaceを作りました。 Teeda -- HttpSession.invalidate()する際の注意点 - jfluteの日記 ここは手動でやるしかないのかなぁ…。 http://www.atmarkit.co.jp/fsecurity/rensai/struts04/struts03.html ここでは新しいセッションIDを生成するために、一度セッションを破棄している。 セッションで保持中の情報を引き継ぎたい場合は、やはり自分で詰め替えるのかな。 あとセッションIDを指定してセッションを開始する方法はないものか。 ただ、サーブレットでは、セッションIDを指定して、Sessionを生成する方法は、用意されていないようで、Co
安全なセッション管理を実現するために
ログイン前とログイン後でセッションIDが変化しない セッション固定攻撃が成立する最後の条件はログイン前とログイン後でセッションIDが変化しないことだ。セッションIDを変化させるためには明示的な実装が必要となるから、意識して実装されていない限り条件が成立する可能性は高いといえるだろう。 ほかの条件については、独自に機能拡張されたアプリケーションサーバやフレームワークを使用するなど、複雑な対策が必要となるが、最後の条件だけは、容易な実装で対策することが可能である。 対策： ・ログイン成功時にセッションIDを再発行する セッションIDを変化させるには、ログインが成功したらセッションIDを再発行させればよい。再発行の時点でセッションIDは攻撃者にとって未知の値となるため、セッション固定攻撃は成功しなくなる。具体的には以下のような実装となる。 /** ログイン処理を実行して成功したらセッションを再発
Java/ServletとJSESSIONIDのURL管理 - Glamenv-Septzen.net
Servlet 2.5 今回主に取り上げるTomcat6, Jetty7で対応しているServlet 2.5の仕様を確認すると、"SRV.7.1 Session Tracking Mechanisms"で以下のように記されています。 SRV.7.1.1 Cookies Session tracking through HTTP cookies is the most used session tracking mechanism and is required to be supported by all servlet containers. The container sends a cookie to the client. The client will then return the cookie on each subsequent request to the server,
JSOS - servlets office suite (servlets)
34. TreeView-servlet 35. Classifieds 36. Portal servlet 37. Hide link From our users: "Let me first say you are one of the few support sites that replied so fast to my query, and the _only_ that inquired if everything was fine. I am absolutely surprised (even shocked!) by this quality of service." 38. JCRM (CRM/HelpDesk systems building tool) 39. JFAQ (FAQ building tool) 40. Notepad servletWAP/WML
Servlet 3.0 の超シンプルなサンプル （pom も） - 宇宙行きたい
ちょっとした Java のライブラリ使うサーバ書かなきゃいけなかったのですが、 折角なので、Servlet 3.0 で書いてみたら鼻血が出るほど簡単で、今まで web.xml とか書いてたのはなんだったんだ状態になったので、 超シンプルなサンプル書いてみました。 package org.yoshiori; import java.io.IOException; import java.util.Date; import javax.servlet.ServletException; import javax.servlet.annotation.WebServlet; import javax.servlet.http.HttpServlet; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.H
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。