でぃすこーど

システムエンジニア趣味で情報セキュリティの勉強しております

サーバへの接続・セッションハイジャックの仕組み②Webサーバ編

情報セキュリティ第四弾：セッションハイジャック② １．会員制サイトへのアクセスの流れ２．会員制サイトへのなりすましアクセスの流れ３．セッションID盗聴に至った脆弱性が考えられるポイント http通信を行っているセッションIDの推測・偽装が簡易セッション管理情報が観測可能クロスサイトスクリプティング（XSS）によるcookie情報の悪用それでは、各脆弱性について詳細を説明します。３．１．http通信を行っているまず、http通信とhttps通

サーバへの接続・セッションハイジャックの仕組み①TCP（後編：セッションハイジャックの流れ）

情報セキュリティ第三弾：セッションハイジャック①（後編）概要・(前編)サーバへの接続確立までの流れ（リンク）・(後編)セッションハイジャックの仕組みと対策 TCP接続のセッションハイジャックの流れ事前の情報収集・盗聴した通信内容から、シーケンス番号の生成している乱数の生成アルゴリズムを特定する ①クライアントがサーバへSYNを送る ②サーバからクライアントにSYN/ACKを送る ③クライアントがACKを送る前に、攻撃者が推測したシーケンス番号でサーバに

でぃすこーど

1年前
サーバへの接続・セッションハイジャックの仕組み①TCP（前編：サーバ接続の基礎）

情報セキュリティ第二弾：セッションハイジャック①（前編）概要・(前編)サーバへの接続確立までの流れ・(後編)セッションハイジャックの仕組みと対策 TCP接続の基本（3ウェイハンドシェイクの流れについて）クライアントからサーバへの接続を行う想定とします。まず、クライアントからSYN(接続要求)を送信します。次に、SYNを受け取ったサーバがクライアントへACK(有効確認)を送信します。最後にサーバからの王都を受領して、接続ができることが分かったので、ク

でぃすこーど

1年前

1
情報セキュリティ：クロスサイトリクエストフォージェリ（CSRF）の仕組みと対策

情報セキュリティ第一弾：クロスサイトリクエストフォージェリこんな方に見ていただきたい記事になります。・ログインしっぱなしだと危険なの？・安全な会員制サイトを作成したいけど、どんな脆弱性があるかよくわからない１．CSRF（クロスサイトリクエストフォージェリ）の仕組み前章の通り、CSRFはサイトにログインしている状態の時に起こりうるものです。一例として下記のようなサイトを想定します。　【ログイン状態でできること】　・会員情報の変更（住所・名前等）　【会員情

でぃすこーど

1年前

1