[debian-users:40143] Re: CGI設置についてのご質問解決しま した。

[Tolu Kuliyama <tolu@xxxxxxxxxxxxxxxxx>]

joe です。

丁寧な文面でしたので、礼を失っすることのないように
ご返事を書くことにしました。

# でも、これで最後にしたいと思います。
# 今回もソーシャルではないと言い切れませんので。

From: 佐藤　義博 <ysatoh@xxxxxxxxxxxx>
Subject: [debian-users:40138] Re: CGI設置についてのご質問解決しま した。
Message-ID: <20040407230415.ABDD.YSATOH@xxxxxxxxxxxx>

> サーバ内に有効なセッションIDが存在していれば…
> http://www.example.com/sub.php?PHPSESSIONID=xxxxxxxx
> (xxxxxxxxは有効なセッションID)のようにすると入り口を飛ばして
> 入れてしまうし…。

テストしていないので、確かなことは言えないのですが、
PHPのセッションID は、パラメータでは渡せないはずです。
（.../foo.php?ID=xxx のように記述して渡すことができない）
従って、上記のようなことはできないように思います。

# でも、これからテストしてみます。
# 何かしら方法があるかもしれませんし。
# （無いとは言い切れない世界ですから）

> 先ほどの飛躍した部分は別として、入り口からの呼び出しだけって
> どうやって判断できるのでしょうか？PHPのセッションを使っても
> サーバ内に有効なセッションIDが存在していれば…
> http://www.example.com/sub.php?PHPSESSIONID=xxxxxxxx
> (xxxxxxxxは有効なセッションID)のようにすると入り口を飛ばして
> 入れてしまうし…。

サーバ内の有効なセッション ID は、ユーザ・エイジェントには
分からないようになっています（ユーザ・エイジェントには送信しない）。
もしも、クライアント側で分かったとしたら、intrusion されている状態です。
つまり、サーバがクラックされているというです。

このような状況では、セッション管理もパスワード管理も全て無効です。

> ※この場合だと入り口のチェックというよりセッションの有効性の
> チェックというべきかと。

う〜ん、なるほど。私は、この２つを同じこと（同時に処理されなければ
ならないこと）と考えて書いていました。

--
Tolu Kuliyama
mailto: tolu@xxxxxxxxxxxxxxxxx
PGP public-key : http://pgp.mit.edu/