a

1. 更新日：2018/11/14
1
セッションハイジャック演習の進め方

2. 2
セッションハイジャック演習の進め方
~準備編~

3. 演習の準備をする①
3
「ファイル」->「ネットワーク再現」
より「LESSON_SH.xml」を
選択する．
すると仮想ネットワークが
表示されます

4. 仮想ネットワークを構築する②
4
被害者用端末
攻撃者用端末
今回作成したネットワークは被害者がWebサーバに
ページをリクエスト・処理をするやり取りのパケットを
攻撃者が盗むということを想定しています

5. 仮想ネットワークを構築する③
5
Webサーバの
コンソールより
パスワードは
「root」を
入力する
①
「被害者用端末」のアイコンを右クリックし
“VirtualBoxa起動”をクリックし起動する．
同様に，「攻撃者用端末」も行う．
②

6. 仮想ネットワークを構築する④
6
攻撃者端末と被害者用端末へログイン
どちらもユーザID：「root」パスワード：「toor」
被害者用端末 攻撃者用端末

7. 仮想ネットワークを構築する⑤
7
被害者用端末より「firefox」起動し
演習用Webサイト（192.168.10.254/web/index.html）
にアクセス
攻撃者用端末の
コンソールより
[＄wireshark]と
コマンドを入力し
Wiresharkを起動する

8. 8
これで演習の準備は完了です．
それではセッションハイジャック演習を
始めてみましょう！

9. 9
セッションハイジャック演習の進め方
~演習編~

10. EditThisCookieの使い方
 EditThisCookie
GoogleChromeの拡張機能
クッキーの確認・追加・削除を行える
10
ブラウザの右上に表示
されているクッキーの
アイコンがEditThisCookie

11. 演習の進め方
① 攻撃者用端末よりターゲットのパケットだけを
監視できるようにフィルタリングする
② 被害者用端末よりユーザ登録を行って
実際にログインしてみる
③ 演習用Webページのトップの管理者用項目から
ユーザ登録できているか確認する
11
次ページに続く

12. 演習の進め方
④ 攻撃者用端末よりターゲットのパケットから
セッションIDを盗む
⑤ 攻撃者用端末よりGoogleChromeを使用し
ターゲットになりすましてログインする
12

13. 13
課題を通して脆弱性のあるWebサイトに
攻撃者用端末からログインできることを
確認してみましょう
確認できたら次は対策演習機能で
対策を講じてみましょう