4.6 セッション管理の不備
46-001:RefererからのセッションID漏洩【ブラウザ】【サーバ： 462/46-001.php 】【サーバ： 462/46-900.cgi 】【サーバ： 462/46-002.php 】

【ブラウザ→サーバ： リクエスト 462/46-001.php → レスポンス 】 RefererからのセッションID漏洩【ブラウザ→サーバ： リクエスト 462/46-002.php → レスポンス 】 RefererからのセッションID漏洩【ブラウザ→偽サーバ： リクエスト http://trap.example.com/462/46-900.cgi → レスポンス 】 RefererからのセッションID漏洩【ブラウザ】

46-010:セッションIDの固定化(正常系)【ブラウザ】【サーバ： 463/45-010.php 】【サーバ： 463/45-011.php 】【サーバ： 463/45-012.php 】

【ブラウザ→サーバ： リクエスト 463/46-010.php → レスポンス 】 セッションIDの固定化(正常系)【ブラウザ→サーバ： リクエスト 45/45-300.php → レスポンス 】 CSRFの罠(単純版)【ブラウザ→サーバ： リクエスト 463/46-010.php → レスポンス 】 セッションIDの固定化(正常系)【ブラウザ→偽サーバ： リクエスト trap.example.com/45/45-901.html → レスポンス 】 CSRFの罠(iframe版)【ブラウザ→サーバ： リクエスト 463/46-012.php → レスポンス 】 セッションIDの固定化(正常系)【ブラウザ→サーバ： リクエスト 45/45-300.php → レスポンス 】 CSRFの罠(iframe版)【ブラウザ】

セッションクッキーの削除 → 46-010:セッションIDの固定化(攻撃)【ブラウザ】「CTRL」＋「SHIFT」＋「Ｉ」 → 「ストレージ」 → 「cookie」から「http://example.jpオリジン」を選択して、クッキーを削除する②①【サーバ： 463/45-010.php 】【サーバ： 463/45-011.php 】【サーバ： 463/45-012.php 】

【ブラウザ→サーバ： リクエスト 463/46-010.php → レスポンス 】 セッションクッキーの削除 → 46-010:セッションIDの固定化(攻撃)ｾｯｼｮﾝＩＤ：PHPSESSID＝ABC に固定【ブラウザ→サーバ： リクエスト 463/46-011.php → レスポンス 】 セッションクッキーの削除 → 46-010:セッションIDの固定化(攻撃)【ブラウザ→サーバ： リクエスト 463/46-012.php → レスポンス 】 セッションクッキーの削除 → 46-010:セッションIDの固定化(攻撃)【ブラウザ】

46-012:セッションIDの固定化(情報の盗み出し)【ブラウザ】【サーバ： 463/46-012.php 】

【ブラウザ→サーバ： リクエスト 463/46-012.php → レスポンス 】 46-012:セッションIDの固定化(情報の盗み出し)OWASP ZAPからPHPSESSID=ABCをスニファー【ブラウザ】

他の端末から攻撃者がPHPSESSID=ABCを確認するというストーリで、ChromeからWebブラウズ

ユーザID：tanaka を盗み見できる

46-020:ログイン前のセッションIDの固定化(正常系)【ブラウザ】【サーバ： 463/46-020.php 】【サーバ： 463/46-021.php 】【サーバ： 463/46-022.php 】

【ブラウザ→サーバ： リクエスト 463/46-020.php → レスポンス 】 ログイン前のセッションIDの固定化(正常系)【ブラウザ→サーバ： リクエスト 45-005.ｐｈｐ → レスポンス 】 ファイルアップロード(正常系)【ブラウザ→サーバ： リクエスト 463/46-021.php → レスポンス 】 ログイン前のセッションIDの固定化(正常系)【ブラウザ→サーバ： リクエスト 463/46-022.php → レスポンス 】 ログイン前のセッションIDの固定化(正常系)【ブラウザ】

セッションクッキーの削除 → 46-020:ログイン前のセッションIDの固定化(攻撃)【ブラウザ】「CTRL」＋「SHIFT」＋「Ｉ」 → 「ストレージ」 → 「cookie」から「http://example.jpオリジン」を選択して、クッキーを削除する②①【サーバ： 463/46-020.php 】【サーバ： 463/46-021.php 】【サーバ： 463/46-022.php 】

【ブラウザ→サーバ： リクエスト 463/46-020.php → レスポンス 】 ログイン前のセッションIDの固定化(攻撃)ｾｯｼｮﾝＩＤ：PHPSESSID＝ABC に固定化

【ブラウザ→サーバ： リクエスト 463/46-021.php → レスポンス 】 ログイン前のセッションIDの固定化(攻撃)【ブラウザ→サーバ： リクエスト 463/46-022.php → レスポンス 】 ログイン前のセッションIDの固定化(攻撃)【ブラウザ】

46-020:ログイン前のセッションIDの固定化(情報の盗み出し。別ブラウザで確認すると分かりやすい)【ブラウザ】【サーバ： 463/46-020.php 】【サーバ： 463/46-021.php 】【サーバ： 463/46-022.php 】

【ブラウザ→サーバ： リクエスト 463/46-020.php → レスポンス 】 ログイン前のセッションIDの固定化(情報の盗み出し。別ブラウザで確認すると分かりやすい)【ブラウザ→サーバ： リクエスト 463/46-021.php → レスポンス 】 ログイン前のセッションIDの固定化(情報の盗み出し。別ブラウザで確認すると分かりやすい)【ブラウザ→サーバ： リクエスト 463/46-022.php → レスポンス 】 ログイン前のセッションIDの固定化(情報の盗み出し。別ブラウザで確認すると分かりやすい)【ブラウザ】

他の端末から攻撃者がPHPSESSID=ABCを確認するというストーリで、ChromeからWebブラウズ

46-010a:セッションIDの固定化対策版(正常系)【ブラウザ】【サーバ： 463/46-010a.php 】【サーバ： 463/46-011a.php 】【サーバ： 463/46-012.php 】

【ブラウザ→サーバ： リクエスト 463/46-010a.php → レスポンス 】 セッションIDの固定化対策版(正常系)【ブラウザ→サーバ： リクエスト 463/46-011a.php → レスポンス 】 セッションIDの固定化対策版(正常系)【ブラウザ→サーバ： リクエスト 463/46-012.php → レスポンス 】 セッションIDの固定化対策版(正常系)【ブラウザ】

セッションクッキーの削除 → 46-010a:セッションIDの固定化対策版(攻撃)【ブラウザ】②①【サーバ： 463/46-010a.php 】【サーバ： 463/46-011a.php 】【サーバ： 463/46-012.php 】

【ブラウザ→サーバ： リクエスト 463/46-010a.php → レスポンス 】 セッションクッキーの削除 → 46-010a:セッションIDの固定化対策版(攻撃)【ブラウザ→サーバ： リクエスト 463/46-011a.php → レスポンス 】 セッションクッキーの削除 → 46-010a:セッションIDの固定化対策版(攻撃)【ブラウザ→サーバ： リクエスト 463/46-012.php → レスポンス 】 セッションクッキーの削除 → 46-010a:セッションIDの固定化対策版(攻撃)【ブラウザ】

46-015:セッションIDの固定化トークンによる対策版【ブラウザ】【サーバ： 462/46-015.php 】【サーバ： 462/46-016.php 】

【ブラウザ→サーバ： リクエスト 463/46-015.php → レスポンス 】 セッションIDの固定化トークンによる対策版【ブラウザ→サーバ： リクエスト 463/46-016.php → レスポンス 】 セッションIDの固定化トークンによる対策版

【ブラウザ】

セッションクッキーの削除【ブラウザ】

PHPSESSID=ABC を割り当てておきます①②「SHIFT」＋「CTRL」＋「 I ｝

クッキーに過去期限が設定されたので、削除された

クッキーの表示【ブラウザ】

PHPSESSID=ABC を割り当てておきます①②「SHIFT」＋「CTRL」＋「 I ｝phpinfo