セッションハイジャック
更新日:
用語解説
セッションハイジャックは、ログイン後に発行されるセッションIDを盗んだり推測したりして、正規の利用者になりすまして操作する攻撃です。
■ 試験で押さえるポイント
XSSや、暗号化されていない通信などで、セッションIDが盗まれます。
セッションIDは推測できない乱数で作り、ログイン時に新しく発行し直します。
Cookieには、HTTPSでだけ送るSecure属性などを設定します。
■ 選択肢での判断ポイント
パスワードではなく、ログイン済みの状態を表すセッションIDを奪う点を見分けます。