セッションハイジャック

被害者のcookie内のセッションIDをなんらかの方法で盗み出して、セッションを共有する。

Railsセキュリティガイド セッションハイジャック

必要なもの

• サンプル・アプリケーション
• 被害者と加害者の役割のために、ブラウザを2種。

手順

• 被害者のブラウザでサンプルアプリケーションのトップページを見る。
  • http://localhost:3000
• 被害者のブラウザでサンプルアプリケーションにユーザ登録後、ログインする。
• 被害者のブラウザでcookieの_session_idの値をメモする。
  • なんらかの方法で加害者が被害者のセッションIDを知ったとする。
  • 本当なら、平文で流れているネットワークのパケットを見るなど
• 加害者のブラウザでサンプルアプリケーションのトップページを見る。
  • http://localhost:3000
• 加害者のブラウザでcookieの_session_idの値を被害者のもので更新する。
• 加害者のブラウザをリロードすると、被害者のアカウントでログインされている。

避け方

• カフェなどの公共ネットワークで、httpsを利用していないサイトを利用しない

直し方

• httpsを利用する。