セッションIDの固定化（Session Fixation）攻撃の手口はどれか。

選択肢

• アHTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイトにおいて，HTTP通信で送信されるセッションIDを悪意のある者が盗聴する。
• イURLパラメタにセッションIDを格納するWebサイトにおいて，Refererによってリンク先のWebサイトに送信されるセッションIDが含まれたURLを，悪意のある者が盗用する。
• ウ悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。
• エ推測が容易なセッションIDを生成するWebサイトにおいて，悪意のある者がセッションIDを推測し，ログインを試みる。

正解と解説

正解：ウ 悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。

セッションIDの固定化は、攻撃者があらかじめ入手した有効なセッションIDを利用者のブラウザに埋め込ませ、その利用者がそのIDのままログインするのを待つ攻撃です。ログイン後もIDが変わらなければ、同じIDを持つ攻撃者がなりすませます。対策はログイン成功時にセッションIDを再発行することです。

選択肢ごとの解説

• ア誤り。平文通信での盗聴の話であり、IDを固定させる手口ではない。
• イ誤り。Referer経由の漏えいという別の問題。
• ウ正しい。既知のIDを使わせ、ログイン後にそのIDでなりすます手口。
• エ誤り。推測可能なIDを当てにいくのはセッションIDの推測。

同じ分野の他の問題

• Webアプリケーションソフトウェアの脆弱性を悪用する攻撃手法のうち、入力した文字列がPHPのexec関数などに渡されるこ…2023年度 秋期 午前II 問1
• Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2022年度 春期 午前II 問1
• Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2020年度 10月試験 午前II 問1
• Webアプリケーションの脆弱性を悪用する攻撃手法のうち,Webページ上で入力した文字列がPerlのsystem関数やPH…2018年度 秋期 午前II 問13
• Webサーバのログを分析したところ,Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2018年度 春期 午前II 問2