JBossでのセッション固定の解決

JBossで実行されているJava Webアプリケーションで、特定のタイプのセッションハイジャックを防ぐために、Session Fixationを防ぐ必要があります。しかし、それは標準のイディオムdoesn't work in JBossと思われる。これを回避することはできますか？JBossでのセッション固定の解決

出典

2008-08-11 Warren Blanchet

This defect（見つけたhere）は、溶液への道を示す。 JBossで実行されるTomcatインスタンスは、デフォルトである "false"ではなく、emptySessionPath = "true"で設定されます。これは.../deploy/jboss-web.deployer/server.xmlで変更できます。 HTTPコネクタとAJPコネクタの両方にこのオプションがあります。

フィーチャ自体は、JSESSIONIDクッキーにコンテキストパス（例：http://example.com/fooの "foo"）が含まれないようにするために使用されます。これをfalseに設定すると、アプリケーション間認証（一部のポータルフレームワークを使用して構築されたものを含む）に依存するアプリケーションが中断されます。しかし、問題のアプリケーションに悪影響を及ぼすことはありませんでした。

出典

2008-08-11 23:00:58

私は、JBoss 6.1と連携し、ちょうどこの問題をヒットしています。 server.xmlにはemptySessionPathオプションはありません。では、バージョン6.1ではどのようにこれを行うことができますか？ –

誰かが興味があれば、私は解決策を見つけました。このスレッドで@ Rp-の答えを探してください：http://stackoverflow.com/questions/11028145/listening-for-login-events-in-jboss-as-6 –

この問題とそれが発生する特定のケースは、TomcatとJBossの問題です。 TomcatはemptySessionPath = "true"エフェクトを共有します（実際にはJBossはTomcatから継承します）。

セッション固定攻撃を防ぐために、サーブレット仕様（少なくともバージョン2.3以降）ではJSESSIONIDを特定のロジックに従って定義または再定義する必要はありませんが、これは実際TomcatとJBossのバグのようです。おそらく、これは後のバージョンでクリーンアップされているかもしれません。

出典

2010-05-27 07:44:40

解決策の1つは、セッションにクライアントアドレスを格納することです。レスポンス・ラッパーは、セッションに設定されているクライアント・アドレスがセッションにアクセスしているものと同じであることを検証する必要があります。

出典

2011-05-23 11:27:55

あなたの提案は一般的なセッションハイジャックに役立ちます。特にセッション固定については対処していません。 –

私は4mのうちの1つからコード設定スニペットを知りました。そして私は以下の行を追加しました。しかし、アプリケーションにログインする前とログインする前にセッションIDを表示すると同じです。どのように私はセッションの固定をテストするだろう。

D：\ jboss-5.1.0.GA \ bin \ run.cofファイルに以下の行を追加してください。 jbossアプリケーションの各context.xmlに「JAVA_OPTS =％JAVA_OPTS％-Dorg.apache.catalina.connector.Request.SESSION_ID_CHECK = false」、
を設定します。 D：\ jboss-5.1.0.GA \サーバー\デフォルト\展開\ jbossweb.sar \ context.xmlに

出典

2013-05-21 09:36:53 user2365956

JBossでのセッション固定の解決

答えて

関連する問題