Hatena Blog Tags
はてなブログ トップ
セッションハイジャック
このタグでブログを書く
言葉の解説
ネットで話題
関連ブログ

セッションハイジャック

(コンピュータ)
【せっしょんはいじゃっく】

他の人がセッションに使っているデータ(HTTPではクッキーが該当)を抜き取り、そのデータを使ってその人になりすますこと。主にXSS脆弱性によって引き起こされる。
TCPではIPアドレスはなりすますことができないので、ただのハッシュ関数ではなく、キーにIPアドレスを使ったHMACを使うようにすることによって防げる。

このタグの解説についてこの解説文は、すでに終了したサービス「はてなキーワード」内で有志のユーザーが作成・編集した内容に基づいています。その正確性や網羅性をはてなが保証するものではありません。問題のある記述を発見した場合には、お問い合わせフォームよりご連絡ください。
kuma0319のブログ•7ヶ月前

Ruby on Railsチュートリアル第９章

Railsチュートリアルの第９章を進めていきます。 第９章（高度なログイン機構） 第９章（高度なログイン機構） Remember me機能 記憶トークン cookiesメソッド トークンと記憶ダイジェストの比較について BCrypt::Password.new(remember_digest)の部分 .is_password?(remember_token)の部分 remember(user)メソッドとcurrent_userの実装 remember(user)メソッド current_userメソッド ユーザーを忘れる 2つの小さなバグ Remember meチェックボックス チェックボック…

#Railsチュートリアル#Ruby on Rails#bcrypt#セッションハイジャック#セッションリプレイ

ネットで話題

もっと見る
142ブックマークPHPのセッションIDは暗号論的に弱い乱数生成器を使っており、セッションハイジャックの危険性がある : DSAS開発者の部屋dsas.blog.klab.org
63ブックマーク【レビュー】HTTPセッションハイジャックを実行できるFiresheep登場 | エンタープライズ | マイコミジャーナルFiresheep, a Firefox extension designed to demonstrate just how serious this problem is. Eric Butler氏が公開したFirefoxエクステンションFiresheepが大きな話題になっている。FiresheepはオープンワイヤレスネットワークにおいてHTTPセッションハイジャックを実施するためのデモンストレーションエクステンション...journal.mycom.co.jp
54ブックマークセッションハイジャック と session_regenerate_id( )関数canalize.jp
35ブックマークASP.NETで忘れずにやっておくべきこと（2） セッションハイジャック対策 - atsukanrockのブログatsukanrock.hatenablog.com
32ブックマーク【PHP セッションハイジャック対策】セッションIDを変更する | ScrapEngineerscrap.php.xdomain.jp
29ブックマーク[Think IT] 第3回：Railsでセッションハイジャックを実体験 (1/3)【セキュリティ最前線】 セキュリティホールをついて遊ぶ 第3回：Railsでセッションハイジャックを実体験 著者：大垣 靖男 公開日：2008/1/25（金） Railsでセッションハイジャックを実体験 第3回となる本記事では、Web開発プラットフレームワークとして人気が急上昇中の「Ruby on Rails」（以下、RoR）を目標に、サンプ...thinkit.co.jp
25ブックマークはてなツールバーにセッションハイジャックの恐れ、最新版に更新をWindows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行をinternet.watch.impress.co.jp
23ブックマークxss 脆弱性のあるサイトを作ってセッションハイジャックを試す - Qiitaqiita.com
22ブックマークHTTPセッションハイジャックツール、さらに登場Idiocy | エンタープライズ | マイコミジャーナルFiresheep, a Firefox extension designed to demonstrate just how serious this problem is. HTTPセッションハイジャックを簡単に実施できるFirefoxエクステンションFiresheepが登場してから10日ほどが経過しようとしている。この短時間の間に多くのできごとが起こった。HTTPセッションハイジャックの脆弱性を放置して...journal.mycom.co.jp

関連ブログ

初心者データサイエンティストの備忘録•9ヶ月前

OSコマンド・インジェクションとセッション・ハイジャック

OSコマンド・インジェクションとセッション・ハイジャックについて勉強しました。本記事はこれらの攻撃についてまとめています。なお、私はセキュリティに関してはずぶの素人で本記事にも誤りが含まれているかもしれません。その際はコメントでご指摘いただけると幸いです。 OSコマンド・インジェクション どんな攻撃？ 脆弱性のあるWEBサイトの入力値に、悪意あるOSコマンドを入力することでWEBサーバに不正な動作を引き起こす攻撃です。 例 ファイル名を変更をする機能を持ったWEBサイトがあるとします。図1のようなイメージです。 図1：ファイル名を変更するWEBサイト このとき、WEBサーバ上の次のようなコマン…

#OSコマンドインジェクション#セッションハイジャック#セキュリティ
子育てエンジニアブログ•17日前

【Salesforce】Salesforceの標準オブジェクト一覧

Salesforceの標準オブジェクト一覧について。こちらの続きで今回は標準オブジェクト一覧についてです。 stsa.hatenablog.com 標準オブジェクト多いなーと思ったら、184個あった。 表示ラベル API 参照名 種別 API 異常イベントストアApiAnomalyEventStore標準オブジェクト Cart Adjustment BasisWebCartAdjustmentBasis標準オブジェクト D&B 企業DandBCompany標準オブジェクト ToDoTask標準オブジェクト Web ストア在庫ソースWebStoreInventorySource標準オブジェクト …

goruchan’s blog•20日前

安全なウェブサイトの作り方~失敗例~

安全なウェブサイトの作り方を読んだので、理解した内容を自分なりにまとめておきます。資料 上記は3章構成になっていてそれぞれ長めの内容なので、ここでは3章の『失敗例』について、Ruby on Rails ではどうするかについてをまとめます。 SQL インジェクション OS コマンドインジェクション パス名パラメータの未チェック例（ディレクトリトラバーサル） 不適切なセッション管理例（セッション ID の推測） クロスサイト・スクリプティングの例（エスケープ処理） CSRFの例 HTTP ヘッダ・インジェクションの例 メールヘッダ・インジェクションの例 参考 SQL インジェクション 参考資料内の…

goruchan’s blog•1ヶ月前

安全なウェブサイトの作り方~設計、実装~

安全なウェブサイトの作り方を読んだので、理解した内容を自分なりにまとめておきます。資料 上記は3章構成になっていてそれぞれ長めの内容なので、ここでは1章の『ウェブアプリケーションのセキュリティ実装』の設計や実装レベルの解決や対策方法についてまとめます。 上記の内容に沿って、Ruby on Rails での実装方法についても合わせてまとめておこうと思います。 根本的解決と保険的解決 ウェブアプリケーションのセキュリティ実装 SQL インジェクション 概要 発生しうる脅威 根本的解決 保険的対策 OS コマンドインジェクション 概要 発生しうる脅威 根本的解決 保険的対策 パス名パラメータの未チェ…

goruchan’s blog•1ヶ月前

Rails セキュリティ

Rails セキュリティガイド - Railsガイドを読んだので、理解した内容を自分なりにまとめておきます。 Web アプリケーションの脅威 セッション セッションハイジャック セッションストレージ cookie のローテション CookieStore セッションに対するリプレイ攻撃 セッション固定攻撃 クロスサイトリクエストフォージェリ（CSRF） GET と POST を使い分ける 必須セキュリティトークン リダイレクトとファイル リダイレクトとは リダイレクトによる脅威 ファイルアップロードによる脅威 重要なファイルが上書きされないように注意 メディアファイルは非同期処理を行う ファイル…

piyolog•1ヶ月前

サポートケース管理システムへの不正アクセスから派生して行われたサイバー攻撃についてまとめてみた

2023年10月23日、Oktaは自社のサポートケース管理システムへ不正アクセスがあり、一部のOktaのユーザー企業がアップロードしたファイルを閲覧されたと公表しました。窃取されたファイルには認証情報などが含まれる場合があり、このファイルを悪用したとみられる活動を検知したとBeyondTrust、Cloudflare、1Passwordがそれぞれ対応などを公開しています。ここではこれら関連する情報をまとめます。 サポートシステムから顧客の認証情報を窃取 Oktaが不正アクセスの被害にあったのはサポートケース管理システム。攻撃者は不正アクセス後に特定のOktaユーザー企業がサポートシステム上にア…

モティオの開発備忘録•1ヶ月前

セッション管理の不備　脆弱性と対策

今回は、Webセキュリティ脆弱性の中のセッション管理に関する部分について、IPAの資料をもとにおさらいする。 セッション管理の不備 発生し得る脅威 注意が必要なウェブサイトの特徴 根本的解決 保険的対策 セッション管理の不備 セッションIDの発行や管理に不備がある場合、悪意のある人にログイン中の利用者のセッションIDを不正に取得され、その利用者に成りすましてアクセスされてしまう可能性がある。 悪意のある人は、セッションIDの生成規則を割り出し、有効なセッションIDを推測する。また、わなを仕掛けたり、ネットワークを盗聴したり、利用者のセッションIDを盗みんだりする。 推測や盗用以外に、セッション…

ku32ma8888の日記•1ヶ月前

Web技術の基本についてまとめました

1章 Web技術について ●ハイパーテキスト Webページの中に別のWebページへの参照を埋め込むことができる、Webを構成する文書。ハイパーテキストを作成する言語にHTML(HyperText Markup Language)がある。 ●APIとは ソフトウェア同士のやりとりを橋渡しする機能 ●静的ページと動的ページの違いは？ 静的ページは同じコンテンツが送られる 動的ページとは要求（URL）によってコンテンツが変化するようなもの WebサーバはHTMLだけでなく画像などの静的ファイルを返すことができる ❓ Rubyはサーバーサイド・スクリプトか？それともクライアントサイド・スクリプトか？ …

資格部•2ヶ月前

SC 令和5年度秋期 問1

Webアプリケーションソフトウェアの脆弱性を悪用する攻撃手法のうち，入力した文字列がPHPのexec関数などに渡されることを利用し，不正にシェルスクリプトを実行させるものは，どれに分類されるか。 HTTPヘッダインジェクション OSコマンドインジェクション クロスサイトリクエストフォージェリ セッションハイジャック 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解答 イ 解説 HTTPヘッダインジェクションー OSコマンドインジェクションー クロスサイトリクエストフォージェリー セッションハイジャックー 参考書・問題集 参考情…

にしのクエスト２•2ヶ月前

勝手に解答速報　令和５年秋ＳＣ

（解答中です １０月１１日）・今週かけてゆっくり更新していきます・・・問１設問１（１）ア （DOMって書いちゃってるし）（２）cookieにHttpOnly属性付与し、アップロードされた画像ファイルの形式を チェックさせる設問２ サーバではなくブラウザにスクリプトを実行させる手法設問３（１）cookieを画像ファイルに偽造する方法（２）画像をテキストエディタで開く（３）セッションハイジャック設問４信頼関係のないドメインのcookieは取得できないから問２設問１（１）ａ 利用者ID ｂ パスワード（２）ｃ 証明書に関する警告 ｄ（３）HTTP接続がリダイレクトされ、HTTPS接続要求がＢサービス…

ken1flanのブログ•2ヶ月前

Software Design 2023/10 メモ

Software Design 2023年10月号を読んで、ちょこっとずつ感想を書いてます。 gihyo.jp いつも参加しているSoftware Design輪読会に向けての予習でもあります。 全体を通しての感想 特集のクラウドセキュリティの話は情シスも開発もともに必要な内容がまとまっていて、いろいろと記憶を掘り起こされたり、気づいてなかったことに気づけたりとよかったです。 連載も特集と連動してセキュリティの話題が豊富でよかったです。 HTTP/3の特集は…HTTPの歴史も書かれてましたが、ああ、自分、ずっと一緒に歩んできてるな…とちょっと感慨にふけってしまいました。 特に気になったこと 実…

くらげのChangeLog•2ヶ月前

Pass-The-Cookie

https://jpn.nec.com/cybersecurity/blog/221007/index.html 多要素認証のバイパスするセキュリティ攻撃。 ログインしていることを保存しているCookieを盗み、それを攻撃者が利用することで認証済みの状態でサービスを利用する手段。 要するにセッションハイジャックである。

ketyiaの学んだこと議事録•3ヶ月前

CNDの勉強3 ~アプリケーションレベルの攻撃~

こんばんわ！本日もCNDの勉強をしていきます！お付き合いいただけると嬉しいです♪前回は、ネットワークレベルでの攻撃についてまとめました。興味ある方は下記を読んでみてください～ learnketyia.hatenablog.jp 今回は第３回「アプリケーションレベルの攻撃」についてまとめていきます！ アプリケーション攻撃用語 SQLインジェクション 一連の悪意のあるSQLクエリを使用してデータベースを直接操作する攻撃 XSS攻撃 （クロスサイトスクリプト） 攻撃者が、他ユーザが閲覧するサイトにスクリプトを注入できるようにする攻撃 ディレクトリートラバーサル攻撃 ソースコードや設定ファイルのような…

ビジネス成功したいなら英語と英会話を修得すべし。•3ヶ月前

「Cookie（クッキー）」について解説｜#英文解説（#ChatGPT学習）

Overview of Cookies（クッキーの概要）： Evolution of Cookies（クッキーの変遷）： How Cookies Work（クッキーの仕組み）： Types of Cookies（クッキーの種類）： Session Cookies（セッションクッキー）： Persistent Cookies（永続クッキー）： First-party Cookies（ファーストパーティクッキー）： Third-party Cookies（サードパーティクッキー）： Secure Cookies（セキュアクッキー）： Advantages and Disadvantages of …

あるもりすぶろぐ•3ヶ月前

特定期間に発生したインシデントとその報道されたニュースとかのリンクをまとめたもの14

このブログは別の場所でSOCにも携わっている経験のある株式会社Armorisのseanが、本人の興味範囲に基づいて収集したサイバーセキュリティ関連の出来事をまとめたものです。 各出来事に関するコメントは個人の意見です。 サイバー世界情勢 全体 7/13 巨大ITにデジタル課税「25年発効」 米への税収集中是正 https://www.nikkei.com/article/DGXZQOUA06ANV0W3A700C2000000/ 日本 7/3 富士通、サイバー攻撃対策に不備 総務省が行政指導 https://www.nikkei.com/article/DGXZQOUC297860Z20C23…

MEMO REC•3ヶ月前

【PHP入門】セキュリティ対策：SQLインジェクション、クロスサイトスクリプティングへの対処法

ウェブアプリケーションのセキュリティ対策は重要です。特にSQLインジェクションやクロスサイトスクリプティング（XSS）などの脆弱性からアプリケーションを守る方法について、基本的な対策法を紹介します。 [スポンサーリンク] 未経験からITエンジニアになる【ENたま転職】 SQLインジェクションへの対処法 クロスサイトスクリプティングへの対処法 セッション管理の強化 バリデーションとサニタイズ アップデートとセキュリティパッチ まとめ SQLインジェクションへの対処法 SQLインジェクションは、不正なSQLクエリを注入される脆弱性です。これによってデータベースへのアクセスが不正に行われる可能性があ…