skillup

技術ブログ

サーバー・ネットワーク

CSRF(クロスサイト・リクエスト・フォージェリ)

投稿日:2017年2月6日 更新日:

CSRF(クロスサイト・リクエスト・フォージェリ)とは?

ウェブサイトの中にはログイン機能を設けているものが多々ありますが、ログインした利用者からのリクエストについて、利用者が意図したリクエスト化を識別する仕組みを持たない場合、悪意のあるリクエストを受け入れてしまう可能性があります。この場合、悪意ある人が用意した罠により、利用者が予期しない処理を実行させられてしまう可能性があります。

このような問題をCSRF(クロスサイト・リクエスト・フォージェリ)の脆弱性といい、これを悪用した攻撃をCSRF攻撃といいます。

具体例もあるのでWIKIがわかりやすい。

https://ja.wikipedia.org/wiki/%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%E3%83%AA%E3%82%AF%E3%82%A8%E3%82%B9%E3%83%88%E3%83%95%E3%82%A9%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%AA

要は別ページ(意図しないページ)からPOSTしてしまう仕組みです。

被害

  • ログイン後の利用者のみが利用可能なサービスの悪用(不正な送金、意図しない商品購入や大会処理など)
  • ログイン後の利用者のみ編集可能な情報の改ざん、新規登録(設定の不正な変更)
  • 主にCookieを用いたセッション管理、特に金銭処理が発生するサイトなどでは非常に重要

対策

  • トークンを発行し、処理を受け取る画面でその確認をする。(最も確実性が高い。工数も中程度。)
  • Referが正しいリンク元かを確認し、正しい場合のみ処理を実行する(Refererをオフにしていると正常な画面遷移もできない。)
  • 逆になんらかの情報を確定や変更しないページでは不要。

参考(トークンチェック)

トランザクショントークン

https://github.com/umanari145/secure

-サーバー・ネットワーク
-

執筆者:


comment

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

関連記事

no image

一般的なサーバー監視コマンド

一般的な監視コマンドをメモします。 Contents1 ネットワーク状況1.1 ping1.2 traceroute ネットワーク状況 ping ネットワークの通信が正常かどうかをみる最も一般的なコマ …

no image

サーバーの過負荷の発見 理論編

会社のテストサーバー(このブログが入っているサーバー)なんかが重くなってくると、再起動したりしているわけなんですが、CPUやメモリの使用率をみたり、といったシステマティックな運用はしてないです。 本来 …

no image

OSキャッシュの仕組み

大規模サービス技術入門のつづきです。 主にOSのキャッシュメモリについてです。 メモリとディスクの速度差は10万倍~100万倍 いかにディスクへのアクセスを減らすかがポイント OSは各プロセスにメモリ …

no image

サーバーの過負荷の発見 メモリ使用率の調査&抽出、置換(awk,sed)コマンドについて

前回、サーバーの負荷調査について記事を書いたので、それに関するスクリプトを。 Contents1 仕様2 ソース3 解説3.1 freeコマンド3.2 awk3.3 sed 仕様 日付とメモリ使用率、 …

no image

メニュー系のCSS

よく迷うのでこれを機にまとめておこうかと。 Contents1 通常時のメニュー2 携帯(いわゆる縦のメニュー)3 ホバー時の画像選択4 小ネタ 選択されているときのメニュー 通常時のメニュー htm …