セッション毒殺

この問題の影響を受けやすいコード例を以下に示します。

セッション("ログイン") = リクエスト("ログイン") セッション("ユーザー名") = リクエスト("ユーザー名") 

これは、次のような些細な攻撃の対象となる。

vulnerable.asp?login=YES&username=Mary

この問題は、ソフトウェアで発生する可能性があります。

• ユーザーはユーザー名/パスワードを送信しますlogon.asp
• パスワードがMaryチェックされた場合、logon.asp転送先vulnerable.asp?login=YES&username=Mary

問題は、このスクリプトがvulnerable.aspページへのアクセスが悪意のない方法でのみ行われることを前提として設計されている点です。スクリプトの設計方法を理解した者であれば誰でも、ログオンユーザーを任意に設定するHTTPリクエストを作成することが可能です。

Alla Bezroutchkoは、2つの異なる目的で使用されるシナリオについて論じている$_SESSION['login']。^{[ 7 ]}

• ログインスクリプトでは、セッション変数に「このユーザーはログインしています」という情報が格納されます。
• パスワードリセットスクリプトでは、セッション変数に「このユーザーはパスワードのリセットを希望している」という情報が格納されます。

競合状態が実証され、リセットスクリプトを悪用することで、ログインしているユーザーを任意に変更できることが示された。

Alla Bezroutchkoは、開発フォーラムで観察された例について議論しており、これにより任意のセッション変数に書き込むことが可能になる。^{[ 8 ]}

最初の例は

$var = $_GET [ "何か" ]; $_SESSION [ " $var " ] = $var2 ;

（ここで、$_GET["something"]はおそらく選択ボックスかそれに類するものです。）

攻撃は

vulnerable.php?something=SESSION_VAR_TO_POISON

if ( $condition1 ) { $var = 'SOMETHING' ; }; if ( $condition2 ) { $var = 'OTHER' ; }; $_SESSION [ " $var " ] = $var2 ;

vulnerable.php?var=SESSION_VAR_TO_POISON

uw-team.org の「unknown」は、攻撃者と被害者が同じ PHP サーバーを共有するシナリオについて議論しています。^{[ 11 ]}

攻撃はかなり簡単だ。

• 攻撃者はまず被害者のページにアクセスし、例えばログインします。
• 攻撃者はその後、PHPスクリプトを自分のアカウントにアップロードし、被害者のスクリプトによって設定された$_SESSIONのコンテキストを表示させます。
• 攻撃者は変更する必要のある変数を特定し、その変数を設定するスクリプトをアップロードして実行する。
• 攻撃者は、想定していた攻撃が成功したかどうかを確認するために、被害者のページを訪問する。

この攻撃に必要なのは、被害者と攻撃者が同じPHPサーバーを共有していることだけです。攻撃者がセッション識別子クッキーをあるクッキードメインから別のクッキードメインに移動するのは容易であるため、被害者と攻撃者が同じ仮想ホスト名を持っている必要はありません。