Forums: osCommerce 一般 (Thread #16987)

php.iniを修正できない場合のセッションハイジャック対策 (2007-12-05 17:53 by Anonymous #33809)

こんにちは。
セッションハイジャック対策について調べているうち、こちらのトピック「セッションハイジャック?」にたどり着きました。
http://sourceforge.jp/forum/forum.php?thread_id=8090&forum_id=457

そこに書かれていたように、session.referer_checkとRecreate Sessionを設定しようとしているのですが、
Recreate Sessionは、管理ツールのsession項目の「Recreate Session」をTrueにしました。

session.referer_checkですが、レンタルの共有サーバを使っていて、php.iniは操作できないようなので、.htaccessを修正しようと思いました。SSLと非SSLのページがあるので、catalog配下の.htaccessに
php_value session.referer_check example
と書いたのですが、これではページ全体がinternal server errorになってしまいます。
どのように記述したらよいか、教えていただけないでしょうか。

また、Recreate Session設定時、Prevent Spider Sessionsという項目もあったのですが、こちらもtrueにしたほうがよいでしょうか。

よろしくお願い致します。

Reply to #33809×

You can not use Wiki syntax
You are not logged in. To discriminate your posts from the rest, you need to pick a nickname. (The uniqueness of nickname is not reserved. It is possible that someone else could use the exactly same nickname. If you want assurance of your identity, you are recommended to login before posting.) Login

RE: php.iniを修正できない場合のセッションハイジャック対策 (2007-12-06 09:01 by Anonymous #33819)

使ってるサーバが(さくらみたいに).htaccess の php_value や php_flag ディレクティブを受けつけない設定になってるんでしょう。

そういう場合は大抵代替案が用意されてると思いますので、サーバのマニュアルを調べましょう。

「Prevent Spider Sessions」ということは、2.2rc1かな?

自osCのバージョンも書かずに質問されても困るし、rc1のことをここで聞くのは筋違いだと思いますが、SpiderKillerは有効にしておいた方が良いでしょう。
Reply to #33809

Reply to #33819×

You can not use Wiki syntax
You are not logged in. To discriminate your posts from the rest, you need to pick a nickname. (The uniqueness of nickname is not reserved. It is possible that someone else could use the exactly same nickname. If you want assurance of your identity, you are recommended to login before posting.) Login

RE: php.iniを修正できない場合のセッションハイジャック対策 (2007-12-08 02:35 by Anonymous #33860)

申し訳ありません、rc1というのがなんのことか
わからなかったのですが、こちらで投稿しては
いけなかったのですね。

わからずすみませんでした。
にもかからわずご回答下さりありがとうございました。
Reply to #33819

Reply to #33860×

You can not use Wiki syntax
You are not logged in. To discriminate your posts from the rest, you need to pick a nickname. (The uniqueness of nickname is not reserved. It is possible that someone else could use the exactly same nickname. If you want assurance of your identity, you are recommended to login before posting.) Login

RE: php.iniを修正できない場合のセッションハイジャック対策 (2012-04-27 16:34 by Anonymous #63453)

[メッセージ#33809 へのフォロー]

> こんにちは。
> セッションハイジャック対策について調べているうち、こちらのトピック「セッションハイジャック?」にたどり着きました。
> http://sourceforge.jp/forum/forum.php?thread_id=8090&forum_id=457
>
> そこに書かれていたように、session.referer_checkとRecreate Sessionを設定しようとしているのですが、
> Recreate Sessionは、管理ツールのsession項目の「Recreate Session」をTrueにしました。
>
> session.referer_checkですが、レンタルの共有サーバを使っていて、php.iniは操作できないようなので、.htaccessを修正しようと思いました。SSLと非SSLのページがあるので、catalog配下の.htaccessに
> php_value session.referer_check example
> と書いたのですが、これではページ全体がinternal server errorになってしまいます。
> どのように記述したらよいか、教えていただけないでしょうか。
>
> また、Recreate Session設定時、Prevent Spider Sessionsという項目もあったのですが、こちらもtrueにしたほうがよいでしょうか。
>
> よろしくお願い致します。
Reply to #33809

Reply to #63453×

You can not use Wiki syntax
You are not logged in. To discriminate your posts from the rest, you need to pick a nickname. (The uniqueness of nickname is not reserved. It is possible that someone else could use the exactly same nickname. If you want assurance of your identity, you are recommended to login before posting.) Login