セッションハイジャック
更新日:
用語解説
セッションハイジャックは、認証後の利用者へ発行されたセッションIDやセッショントークンを盗取、推測又は固定し、その有効なセッションを乗っ取って本人として操作する攻撃です。
■ 試験で押さえるポイント
XSS、端末マルウェア、暗号化されていない通信、ログやURLへの漏えい、予測可能なID、セッション固定などがトークン侵害の原因になります。
十分な乱数でIDを生成し、ログインや権限変更時に再発行し、URLへ含めず、CookieへSecure、HttpOnly、適切なSameSite属性を設定します。
全通信をTLSで保護し、アイドル・絶対有効期限、ログアウト時のサーバ側失効、重要操作の再認証、異常端末・地域の検知を実施します。
パスワードを知らなくても有効なトークンを持てば認証後状態を悪用できます。パスワード変更時にも既存セッションを失効させる設計が必要です。
■ 選択肢での判断ポイント
認証情報そのものを推測するのではなく、認証済み状態を表すセッショントークンを奪って利用する点を見分けます。
例: XSSでCookieの読取りを防ぐHttpOnlyを設定しても、XSS自体は正規画面で操作できるため、出力エンコードとCSPも行い、侵害時は全セッションを失効します。