SofTek Security TOPIC
セッション管理の脆弱性 (1/3)
|
セッション管理の脆弱性とは、ログインのある認証ページでは必ず必要となる「セッション管理」に関連する脆弱性を総称したものです。
以下では、「セッション管理の脆弱性」がどのようなものなのか、またどのような被害を受けるのかを順を追って説明していきます。
|
■ セッション管理について |
|
「セッション管理の脆弱性」を理解するためには、まず「セッション管理」について知っていなければなりません。ここでは、セッション管理について簡単に説明します。 |
|
Web ページにおけるセッション管理とは、Web サーバに対する多数のアクセスから特定のユーザのアクセスを区別して処理するためのシステムの一つです。
|
 |
|
② により Web ブラウザにユーザを識別する情報が送られるため、③ 以降では
Web ブラウザからのアクセスにユーザを識別する情報が含まれ、Web サーバ側でアクセスしているユーザを識別することが出来るようになります。
この一連のユーザ識別のシステムをセッション管理といいます。 |
|
① Web ブラウザから Web サーバへの要求 |
GET /index.html HTTP/1.0 |
|
② ①に対する Web サーバ から Web ブラウザへの応答 |
HTTP/1.1 200 OK
Date: Mon, 04 Jul 2005 08:49:41 GMT
Server: Apache
Content-Length: 110
Content-Type: text/html; charset=UTF-8
Connection: close
<html>
<head>
<title>Top Page</title>
</head>
<body>
Top Page
</body>
</html>
|
|
複数の Web ページが遷移する場合（例えば、入力フォームに情報を入力して登録ボタンを押すと、次のページで内容確認のページが表示され、再度登録ボタンを押すと「登録しました」というメッセージが表示されるような
Web ページ）、アクセスしてきたクライアントが前にアクセスしてきたクライアントかどうかを確認出来なければ、正常に動作させることが出来ません。
また、ユーザを識別しなければ、ユーザ認証を必要とする Web ページを構築することが出来なくなります。
|
