概要

Session の脅威のひとつが Session Hijacking (セッション乗っ取り)。PHPSESSID を盗まれると、攻撃者は自分のブラウザに Cookie をセットするだけで「ログイン済みの被害者」になりすませる。特に怖いのが Session Fixation (固定化攻撃) で、攻撃者が事前に取得した Session ID を細工した URL 等で 被害者に使わせて、ログイン後の Session を共有してしまう手口。

これを防ぐ標準対策が session_regenerate_id(true)。ログイン成功の 直後に必ず呼ぶ ことで、新しい Session ID を発行して古い ID を破棄する (true が古い Session ファイルを消す指定)。事前に使わせた ID はログインの瞬間に無効化され、盗んでも意味がなくなる。ドリルでは regenerate 前後の ID を比較して目視確認する。

上乗せ防御として、Session Cookie には Secure 属性 (HTTPS でしか送らない) と HttpOnly 属性 (JavaScript から読めない) を必ず付ける。session.cookie_secure = 1 / session.cookie_httponly = 1 を php.ini か ini_set で設定するのが定石。本番運用なら 「regenerate_id + Secure + HttpOnly」の 3 点セット が常識ライン。

学習目標

• Session Fixation (固定化攻撃) が何を狙うかを 1 行で言える
• ログイン時に session_regenerate_id(true) を呼んで Session ID を作り直す 意味を説明できる
• 新旧 Session ID が 異なる ことをコードで確認できる

ドリル

本物のセッション動作で確認したい場合

cd topics/session-cookie/ch06-session-security/drill/01-regenerate-id/
php -S localhost:8000 answer.php

ブラウザの開発者ツール (Application → Cookies → PHPSESSID) を見ながらリロードし、ログイン処理を呼んだ瞬間に Session ID が変わることを確認。

問題

ログイン時の Session ID 再生成を再現してください。

• session_start() 直後の Session ID (採点用スタブで TESTSESSIONID) を変数に保存
• session_regenerate_id(true) を呼ぶ
• 再取得した Session ID と比較し、異なれば "changed: yes"、同じなら "changed: no" を 1 行出力

期待される出力:

changed: yes

ヒント

$oldId = session_id();
@session_regenerate_id(true);
$newId = session_id();

echo ($oldId !== $newId ? "changed: yes" : "changed: no") . "\n";

本物のセッション動作で確認したい場合

cd topics/session-cookie/ch06-session-security/drill/01-regenerate-id/
php -S localhost:8000 answer.php

ブラウザの開発者ツールで PHPSESSID を見ながらリロード、再生成のタイミングで Cookie 値が変わることを確認。

問題

固定化攻撃のシナリオを 1 スクリプトで擬似化します。

シナリオ:

1. 攻撃者から渡された ID ATTACKERFIXEDID で Session を開始 (採点用スタブで session_id() をこの値にセット)
2. ユーザーがログイン処理を実行
3. ログイン直後に session_regenerate_id(true) を呼ぶ
4. ログイン後の Session ID が攻撃者の渡した固定 ID と 異なる ことを確認

出力仕様:

• 「ログイン前の ID」と「ログイン後の ID」が同じか異なるかを判定
• 異なれば "safe: regenerated"、同じなら "vulnerable: fixation" を 1 行出力

期待される出力:

safe: regenerated

(session_regenerate_id(true) を呼ばないと vulnerable: fixation になる)

ヒント

// スタブで session_id('ATTACKERFIXEDID') がセットされている前提
$oldId = session_id();                    // ATTACKERFIXEDID
$_SESSION['user'] = ['name' => '太郎'];   // ログイン
@session_regenerate_id(true);             // ★ ここがポイント
$newId = session_id();

echo ($oldId !== $newId ? "safe: regenerated" : "vulnerable: fixation") . "\n";

ポイント

• ログイン直後に必ず session_regenerate_id(true) を呼ぶ のが固定化攻撃の最小防御
• true を渡し忘れると古い Session が残るので注意 (引数の名前は delete_old_session)
• ログアウト時の session_destroy() と組み合わせて運用するのが定石