2
票
他人のセッションIDを使用されたときの対策
おそらく「(セッション ID を盗める脆弱性があって)ログインユーザーBがログインユーザーAの権限で操作できてしまうという報告」のような報告だったのではないかと想定した回答です。
他人のセッションIDが使われると大変なので、セッションIDが盗まれにくくしたり、仮に盗まれても影響範囲が小さくなるようにする必要があります。たとえばIPAが出している「安全なウェブサイトの作り方」...
1
票
他人のセッションIDを使用されたときの対策
興味本位での質問でなければ、まず指摘された脆弱性とリスクを正確に把握することが必要です。
CVSS等で脆弱性のリスクが示されているはずですが、そのリスクと保護する情報資産の価値、その他対策に掛かる工数等を総合的に判断して、対策しないことも含めて対策内容が変わってきます。
以下、興味本位での回答です。
質問内容は、攻撃手法「CAPEC-593: Session Hijacking」の子要素「...
1
票
asp.netのsessionidをクライアントjavascriptで扱いたい
セッションクッキーはweb.configでの指定にかかわらすHttpOnlyなクッキーになるようです
Page_Loadあたりで、
Response.Cookies("ASP.NET_SessionId").HttpOnly = False
としてやることで、通常のクッキーになることは確認しました
このクッキーをクライアント側で操作したらどうなるかは検証してないのでわかりませんが
Only top scored, non community-wiki answers of a minimum length are eligible