セッション固定化攻撃[セッションハイジャック][session_regenerate

セッション固定化攻撃（セッションフィクセーション）とは、相手のセッションIDを乗っ取り、その利用者本人に成りすましてしまう攻撃法です。

セッションハイジャックという用語もありますが、セッションIDの乗っ取り方が違います。固定化攻撃はあらかじめ用意してあるセッションIDを相手に仕掛け、相手があるサイトにログインした時に、攻撃者がその相手に成りすましてしまいます。ハイジャックの方は、その名の通りネットワーク上の盗聴などによって相手のセッションIDを奪う方法です。

対策としては、利用者がログインした直後にセッションIDを再作成することです。

セッションIDの再作成は、session_regenerate_id()関数を利用します。

引数にtrueを指定すると（PHP5.1.0以降）、それまでのセッションデータが破棄されるので、セキュリティの面においても安心です。

参照ページ

http://php.net/manual/ja/function.session-regenerate-id.php

<?php
session_start();

$old_sessionid = session_id();

session_regenerate_id(true);

$new_sessionid = session_id();

echo "古いセッション: $old_sessionid<br />";
echo "新しいセッション: $new_sessionid<br />";

?>