セッション固定化

加害者がなんらかの方法で手に入れた正しいセッションIDを、被害者のcookieに設定させてセッションを共有する攻撃のこと。

Railsセキュリティガイド セッション固定攻撃

必要なもの

• サンプル・アプリケーション
• 被害者と加害者の役割のために、ブラウザを2種。

手順

• 加害者のブラウザでサンプルアプリケーションのトップページを見る。
  • http://localhost:3000
• 加害者のブラウザでcookieの_session_idのメモする。
• 被害者のブラウザでサンプルアプリケーションのトップページを見る。
  • http://localhost:3000
• 被害者のブラウザでcookieの_session_idの値を加害者のもので更新する。
  • なんらかの方法で被害者のブラウザでセッションIDを設定したとする。
  • 実際はjavascriptなど。
• 被害者のブラウザでサンプルアプリケーションにユーザ登録後、ログインする。
• 加害者のブラウザをリロードすると、被害者のアカウントでログインされている。

直し方

ログイン後にセッションをリセットする。

• reset_session
• https://github.com/ken1flan/security_sample/pull/1/files