セキュリティー対策（１１）

セッションハイジャック
Webページにおいては、ページ表示毎にセッションを作り、
このセッションのIDを使うことで、どのユーザーからのアクセスかをみわけたり
ログインなどの認証情報を保持しています。

このセッションIDは、ブラウザーのヘッダー情報を確認することで、
見ることができます。

 これを使って、サイト内にリンクを作成すると

  <a href="xxxx.php?PHPSESSID=u3qbjn6jahslu5f79qk3map972">ページの表示</a>

もし、他の人がこのセッションIDを使用したらどうでしょう？
ログインした人に成りすまして、色々な操作を行ってしまう
可能性が出てきてしまいます。
古いPHPを利用している場合など注意が必要ですね。