レガシーASPの、携帯ブラウザからのセッション維持について

質問

レガシーASPの、携帯ブラウザからのセッション維持について

現在、レガシーASPでWEBメーラーを改造しております。
このメーラーはもういない先輩が作成したもので、パソコンでの使用を目的に組まれました。
これを携帯のブラウザからでも使用できるように改造しなければならず、現在問題点を確認しております。

しかし、レガシーASPだとクッキーでセッションを維持しているが、ドコモのブラウザはクッキーに対応していないということを聞きました。
ASPのソースを見たところ、セッション関数を使ってDBやフォルダからデータをとってきているらしく、このままでは動きません。

いっそASP.NETに移行し、Cookielessを使用したほうがいいでしょうか？
それとも、レガシーASPに、セッションの代わりになる方法などがありますでしょうか？

下にソースコードの一部を書きます。
当方プログラミング未経験のため、どこをどうすれば良いかも教えていただけると嬉しいです。

よろしくお願いします。

' ログインチェック

sub s_LoginChk()
dim l_user,l_password
dim l_msg,l_sql,l_url
l_user = Request("p_name")
l_password = Request("p_password")
Session("s_user")=l_user
l_msg =""

if l_msg ="" then
l_sql = "SELECT l_id FROM mail.dbo.tbl_login WHERE "
l_sql = l_sql & "l_name='" & l_user & "' AND "
l_sql = l_sql & "l_pass='" & l_password & "' "
i_Recs.Open l_sql,i_Conn
' データベースに問い合わせOK
if NOT i_Recs.EOF then

Session.Timeout=120
Session("s_id")=i_Recs("l_id")
l_url = "mail.asp?p_opt=TopMenu"
Response.Redirect(l_url)
end if
i_Recs.Close
end if
end sub

' トップメニュー

sub s_TopMenu()
Dim l_day,l_sql
Dim l_id,l_sdate,l_edate,l_title

if Session("s_id")="" then
call s_SessionEnd()
exit sub
end if

%>
<form action=mail.asp method=post>
<FRAMESET ROWS="100,*"FRAMEBORDER="no">

<FRAME SRC="sample1_top.html" SCROLLING="no" NORESIZE>

<FRAMESET COLS="150,*" >
<FRAME SRC="sample1_left.htm" SCROLLING="no" NORESIZE>
<FRAME SRC="sample1_right.html" NAME="right">
</FRAMESET>

</FRAMESET>
</form>
ようこそ <b><%=Session("s_user")%></b> さん
<%
l_day =YEAR(now)&"/"&Month(now)&"/"&DAY(now)
call s_Menu()
%>
</table>
<%
end sub

回答No.1

noname#158371 · ベストアンサー

Sessionを使わないとなると、

案１：Sessionに保持している値をページ表示毎に毎回データベースから取得するような作りに変更する（ソースコード量の膨大化が進むことは必至で、保守性が下がるリスクを背負います）

案２：もしくは、input type="hidden"タグに保持したい値を保存し、毎回、Requestまたは、Request.Formで取得する（保守性は保てるが、Response.Redirectを使って画面遷移している場合は、Request.Formで値を取得できない。SessionかQueryStringを使うしかありません）

案３：URLにQueryStringを使ってSessionで格納していた値を各画面に受け渡す方法
(例：http://servername.com/login.asp?s_user=xxxx&s_id=kero-mio
というような、?や&を入れたURL構成で値を渡す方法をQueryStringといいますが）
（ただし、QueryStringは、1024バイトまでの情報しかやり取りできないのと、URLに受け渡す値が見えてしまうため、セキュリティリスクを背負う。現行ソースの影響度は比較的少なく済むかと思います）

以上の方法しか対策がありません。
値が早々変化しないのであれば、Application変数を使うという手もありますが、ご提示されたソースコードを見る限り、利用者毎に値が違うため、Application変数を使用するのは良くないのかなと思います。

また、ASP.NETに移行して頂いても構いませんが、aspで作成された資産は殆ど使えないものだと思って下さい。（完全なる作り替えが必須となります。）
また、現段階のVisual Studio の最新版である、「Visual Studio 2008」は、ASP.NETを使ったモバイルWebアプリケーション開発指針がハッキリしていないこともあり、もし、ASP.NETに乗せ換えてモバイル対応Webアプリケーションを作成するのであれば、「Visual Studio 2005」の利用をお勧めします。

※Visual Studio 2010の発売まで待てるのであれば、2010を使っても構いませんが、2010についても、ASP.NET用モバイルWebアプリケーションの開発情報がハッキリしない状況です。

以上の点を踏まえ、ご検討ください。

お礼

kero-mioさん、お礼が遅れて申し訳ございません。

詳しく丁寧なご返答ありがとうございます！

案１はソースコードがちょっと怖いものになりそうですね。検討してみます。
案２は、Response.Redirectを使用しているので見合わせようと思います。
案３は、たしかにソーシャルエンジニアリングが怖いですが、弊社社員用のメーラなので、教育がしっかりできれば問題ないと思います。

ASPならびにASP.NETに関してまるで知識がなかったため、aspで作成された資産は殆ど使えないものだとお聞きしてびっくりしました。
また、案３のように、ASPでクッキーレスのようなことができるという情報もすごく助かりました。

検討はもう少し続けますが、おそらく、案３を採用させていただきます。
セッションハイジャックにだけ気をつけて（ドコモの新ブラウザでRefererが使用できるようになった〔しかもデフォルトon〕のがすごく怖いです）、あとは社員教育で情報漏えいには対処しようと思います。

すごく助かりました。
本当にありがとうございました。

回答No.2

cistronezk

表題とは関係ありませんが、セキュリティの問題点を指摘させてください。

お示しのコードでは、有名な「SQLインジェクション」が可能のようです。
http://www.atmarkit.co.jp/fsecurity/column/ueno/42.html

あくまで例としてのコードであり、SQLインジェクション対策はバッチリならというのでしたら、読み流してください。

お礼

アドバイスありがとうございます。

あくまで非公開の社内用プログラムということで、仕様ミスやヒューマンエラーによる内部からの漏えいは想定していたのですが、外部からの攻撃に関しては失念しておりました。

ＳＱＬインジェクション攻撃に関してはネットニュース等で漠然と聞いたことがある程度だったのですが、これを機に、教えていただいたＵＲＬを熟読し、しっかりと書籍などでもセキュリティに対して学習を進めていこうと思います。

ありがとうございました。