Programming/セキュアWebプログラミングの手引き の履歴(No.1)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• Programming/セキュアWebプログラミングの手引き へ行く。
  • 1 (2007-10-22 (月) 00:14:03)
  • 2 (2011-12-23 (金) 01:30:06)
  • 3 (2014-11-10 (月) 02:44:55)

GET,POST†

GETで渡す情報にユーザーの身元が特定できるものを不必要につけてはいけない。同じ情報をPOSTにしてもHTTPヘッダーモニターツール(LiveHttpHeaders)などでいくらでも改ざんできるのでログインの曲面以後はセッションを利用すべきである。

セッションの受け渡し†

言語標準でセッション管理が備わっている場合はあまり意識しなくていい。ただし携帯開発などではCOOKIEが使えないので、GETパラメータに加えるように変更する必要がある。スタティックなページでもセッションを維持できる方法がある。それは上位ディレクトリにセッションＩＤを埋め込んでおいて、mod_rewriteで書き換えるのである。

http://rutake.com/9803/index.php →index.php?session=9803

セッションハイジャック†

セッションＩＤを盗んで他人のログイン後の画面に侵入するものである。漏洩パターン配下のとおり

1. 単純なセッションＩＤ付与による類推（単なる連番とか）
2. REFERERによるセッションＩＤの取得
3. XSSなどによるCOOKIE情報の取得

perlの汚染検出オプション†

汚染文字列の危険性のチェックをしてくれるモード

perl -T