クライアントサイドの巨大なクッキーとサーバーサイドのヘッダーサイズ制限の組み合わせによるDoSについて

参考: http://d.hatena.ne.jp/ultraist/20120417

このボタンを押すとスクリプトにより巨大なCookieが設定され、そのサイズがサーバーが許容するHTTPヘッダーのサイズを超えるため http://www.udp.jp/ に対する全てのリクエストが拒否されるようになります。

このページではCookieの有効期間を設定していないのでブラウザを一度閉じると回復します。

Cookieの有効期間を20年くらい設定するとユーザーがCookieを手動で削除するかサーバー側で対応するまでサービスが利用できなくなります。

XSSでこれをやられるとユーザー側は気づきにくいのでサービスの利用者を失うことに繋がります。

サーバー側からCookieを消す対応は面倒なので、ユーザー情報の管理を行っていないサービスでもXSSには気を付けましょう。