セッションIDの固定化（Session Fixation）攻撃の手口はどれか。
選択肢
- アHTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイトにおいて，HTTP通信で送信されるセッションIDを悪意のある者が盗聴する。
- イURLパラメタにセッションIDを格納するWebサイトにおいて，Refererによってリンク先のWebサイトに送信されるセッションIDが含まれたURLを，悪意のある者が盗用する。
- ウ悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。
- エ推測が容易なセッションIDを生成するWebサイトにおいて，悪意のある者がセッションIDを推測し，ログインを試みる。
正解と解説
正解：ウ 悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。
セッションIDの固定化は、攻撃者があらかじめ入手した有効なセッションIDを利用者のブラウザに埋め込ませ、その利用者がそのIDのままログインするのを待つ攻撃です。ログイン後もIDが変わらなければ、同じIDを持つ攻撃者がなりすませます。対策はログイン成功時にセッションIDを再発行することです。
選択肢ごとの解説
- ア誤り。平文通信での盗聴の話であり、IDを固定させる手口ではない。
- イ誤り。Referer経由の漏えいという別の問題。
- ウ正しい。既知のIDを使わせ、ログイン後にそのIDでなりすます手口。
- エ誤り。推測可能なIDを当てにいくのはセッションIDの推測。
この問題に出た用語
同じ分野の他の問題
- Webアプリケーションソフトウェアの脆弱性を悪用する攻撃手法のうち、入力した文字列がPHPのexec関数などに渡されるこ…2023年度 秋期 午前Ⅱ 問1
- Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2022年度 春期 午前Ⅱ 問1
- Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2020年度 10月試験 午前Ⅱ 問1
- Webアプリケーションの脆弱性を悪用する攻撃手法のうち,Webページ上で入力した文字列がPerlのsystem関数やPH…2018年度 秋期 午前Ⅱ 問13
- Webサーバのログを分析したところ,Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2018年度 春期 午前Ⅱ 問2
出典・参考
最終更新：2026-10-06／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。