うさぎ文学日記スマートフォン用の表示で見るうさぎ文学日記この広告は、90日以上更新していないブログに表示しています。2008-11-12MS08-069を適用するとHttpOnly属性でクロスサイトトレーシング攻撃からCookie奪取を防げるっぽいsecurityMSの独自拡張の仕様で、CookieのHttpOnly属性というのがあります。これはこの属性がCookieに指定されていた場合、InternetExplorerでクライアント側のスクリプトからCookieにアクセスできるできるのを防ぐことができるというものでした。クロスサイトスクリプティング(XSS)に似ている、TRACEメソッドを利用したクロスサイトトレーシング攻撃では、このHttpOnly属性が働かずCookieを奪取されてしまうという問題がありました。(FAQ)」を見ると以下のようにあります。転送エンコードを制御する機能を今後許可しなくなります。クライアント側のスクリプトを介しアクセスされないようにします。したらHttpOnly属性を指定していたら、上記のクロスサイトトレーシング時のCookie奪取を防ぐことができるように修正されたのかもしれません。「かもしれません」というのは、まだ検証していないので気になる方は要確認です。(955218)(追記)今回の話、TRACEメソッドは関係ないんじゃないのかなぁ。前から送れなくなってる気も。糸の切れた凧(2008-11-12)という話も。前から送れなくなってるっていう話を知らなかった...。ちなみにサーバー側での対応ならTRACEメソッドを使えなくしちゃえばいい。IISでもApacheでも無効にできますよ。月別アーカイブはてなブログをはじめよう!sen-uさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。