[debian-users:40133] Re: CGI設置についてのご質問解決しま した。

[Tietew <tietew@xxxxxxxxxx>]

On Wed, 7 Apr 2004 21:02:00 +0900
In article <20040407.210157.88470874.kise@xxxxxxxxxxx>
[[debian-users:40129] Re: CGI設置についてのご質問解決しま した。]
KISE Hiroshi <kise@xxxxxxxxxxx> wrote:

> ウェブサーバが提供する認証(BASIC AUTHとか)の話だと思ってたんですが。

認証したって直接 URL 打てば実行できるので関係ないでしょう。

# というか直接起動されたからって何が問題なんでしょうね。
# それが問題になるような作りをしている方が問題だ。

> > PHP のセッションはクッキーを使わないのですか？
> > 若しくは，クッキーを詐称（詐証って何？）できる危険なセッション管
> > 理なのですか？
> 
> PHPのセッション管理はクッキーを使う方法と使わない方法があります。
> 使わないほうは…えっと、
> http://example.com/hogege.php?PHPSESSID=hogera
> ようにして渡すのでしたっけ。ここらへんはある程度自動的に

この形式は Referer によってセッションIDが漏洩し，セッションハイ
ジャックの恐れがあるので問題がありますね。
http://securit.gtrc.aist.go.jp/SecurIT/advisory/webmail-1/

携帯コンテンツ（特に DoCoMo) はクッキーが使えないので細心の注意
を払って URL 埋め込み型のセッション（or hidden&POST) を使う必要
がありますが……



—[ Tietew ]————————————————————————————
Mail: tietew@xxxxxxxxxx / tietew@xxxxxxxx
Web : http://www.tietew.net/     Tietew Windows Lab.
PGP fingerprint: 26CB 71BB B595 09C4 0153  81C4 773C 963A D51B 8CAA