80719


HTTPSのみを使用するウェブアプリケーションでは基本的にCookieへのSecure属性付与が推奨されると存じます。

その上で、HTTPを使用中にMITMによりCookieが窃取されるのは理解できますが、  
HTTPS環境でも以下の様な罠リンクを踏ませる事でCookieの窃取が出来ると記載が有りました。

[code]

    <img src="http://www.sample.jp:443/" width="1" height="1";>
    
[/code]

HTTPでのアクセスが出来ないウェブサイトの場合においても上記の手法でCookieを窃取する事が可能なのでしょうか？  
もし可能であればどういった仕組みで攻撃を実現させているのでしょうか？

HTTPでアクセスした際にタイムアウトになるウェブサイトがあったとして、  
そこに無理やりHTTPを指定してアクセスした際にCookieが送信されるとすれば、  
サーバーからのレスポンスが無くてもクライアントがGET要求に付与したCookieが盗まれるという事でしょうか？

以上、知恵をお貸し頂ければ非常に助かります。


CC BY-SA 4.0
2021-06-01T09:23:10.180
76254
2021-08-11T07:26:44.810
2021-06-01T10:56:32.627
3060
45594
question
security ssl cookie
HTTPSサイトでSecure属性を持たないCookieの取り扱いに関して


以下の動画ではいかがでしょうか?

[TCP/IPを理解している人ほど間違いやすい 常時SSLでもCookieのSecure属性が必要な理由 -
YouTube](https://www.youtube.com/watch?v=yXNOJE9kGK8)


CC BY-SA 4.0
2021-08-11T07:26:44.810
80719
2021-08-11T07:26:44.810
781
76254
answer