悪意のあるサイトへのアクセス(正規サイト経由なし)でクッキーの読み出し、悪用はされるのか

Question

疑問に思ったので質問させていただきます。

悪意のあるサイトに直接アクセスした場合、Javascriptでクッキーにアクセスして値を取得してしまうということはあり得るという認識でよいのでしょうか？
(悪意のあるサイトなのでJavascriptからのクッキーアクセスは禁止されていないと思うので)

またその場合はクッキーはどのサイトのものかわからないと思いますが(特定の正規サイトを模倣しているとか、経由しているとかではないので)、悪用されてしまうことはありえるのでしょうか(とりあえず有名なサイトを片っ端からプログラム上でログインを試すなど)？

上記だと労力に見合うような成果は少なさそうなので悪意のあるサイトへの直接アクセスの場合はクッキー値を読み出すというよりも、ブラウザの脆弱性(アップデートされていないブラウザを狙った)をついてマルウェアを仕込むなどのほうが多いのでしょうか？

Answer 1

悪意のあるサイトに直接アクセスした場合、Javascriptでクッキーにアクセスして値を取得してしまうということはあり得るという認識でよいのでしょうか？

できないケースのほうが多いです。

• httpOnlyをかけてあって、そもそもJavaScriptから読み出し不能なクッキーの場合
• あえてドメイン指定をしない限り、同一ドメインでしかCookieは読み書きできない

Comments

[nama-chan]

返信ありがとうございます。

>httpOnlyをかけてあって、そもそもJavaScriptから読み出し不能なクッキーの場合
あえてドメイン指定をしない限り、同一ドメインでしかCookieは読み書きできない

そもそも悪意のあるWebアプリケーションのページを表示、悪意のあるサイトなのでクッキーアクセスOKにしてある(上記は悪意がるのでSet-Cookieの値もいじれる)、JavaScriptから読み出し、攻撃者に送信、とできるかなと思ったんですが違うんのでしょうか？

[yoorwm]

それは、自分自身のページのクッキーを読んで送信という事でしょうか？

[nama-chan]

maisumakunさん、oorwmさん

すみません！なるほどです！勘違いしていました。
そもそもクッキーは他のページへのアクセスしたときのクッキーなので、そのクッキーに対してはクッキーを生成したサイトを表示している時にしか(同一ドメインからしか)アクセスできないので悪意のあるサイトに直接アクセスした場合は当然ドメインが異なるのでその他のクッキーにアクセスできなくて悪用できないとういうことですね！
迅速な返信ありがとうございます。助かりました！