セッション管理

（機 能）
HTTP にセッションの概念がないため、複数ページにまたがった一連のWeb ブラウザとWeb サイトの通信を認識する仕組み

（特 徴）
① 　Web ブラウザがWeb サイトにアクセス
② 　Web サイトは、十分な長さでユニークな乱数（疑似乱数）を生成し、セッションID とし、セッション・オブジェクトを生成する
③ 　Web サイトは応答のページとともにセッションID を送信する
④ 　Web ブラウザはHTTP リクエストとともにセッションID を送信する
⑤ 　Web サイトは送られてきたセッションID に対応するセッション・オブジェクトを参照して、その情報をに処理を行う


1. Cookie
Web サイトは、HTTP レスポンスヘッダに、Set-Cookie フィールドを設定し、セッションID を書き込んで送信
する。

Cookie のパラメータとしては、expires（ローカルディスク内に保存する有効期限。同一のHTTP セッション内
のみ利用の場合は「0」を指定する）、domain（クッキーを送り返すWeb サーバの範囲：記入されているドメイ
ンのルート以下のホストすべてに送信）などがある。

Set-Cookie: NAME=VALUE; expires=DATE; path=PATH; domain=DOMAIN_NAME; secure

※ domain に記載されているドメイン名が、通信を行っているWeb サーバと違う場合、ブラウザはCookie を破棄
する。 また、domain が空白の場合は、Web サーバのドメイン名が記入され保存される。


【脆弱性】
・ クロスサイトスクリプティングによるCookie の不正取得




2. URL クエリストリング
Web サイト側プログラムがブラウザに送るHTML ソース内すべてのURL にセッションID を付与する方法
（http://○○○.co.jp/index.html?sid=1234）


【脆弱性】
・ SSL による暗号化通信を行っても、HTTP 標準ヘッダは暗号化できないため、URL に埋め込んだセッションID は平文である

・ referer 情報に書き込まれる情報により、リンク先でセッションID が漏れる
※ GET メソッド ：フォームデータをURL につないで送信する
※ POST メソッド ：フォームデータをHTTP 拡張ヘッダに書き込んで送信する




3. hidden フィールド
Web サーバ側プログラムがブラウザに送るHTML ソース内にフォームを設け、hidden フィールドにセッション
ID を埋め込むが、ページ遷移をすべてフォームで行う必要があるため、プログラミングの負担が大きい。

【脆弱性】
・ HTML ソースをブラウザで参照するとhidden フィールドも見えてしまうため、セッションID が漏れる危
険がある