skillup

技術ブログ

サーバー・ネットワーク

CSRF(クロスサイト・リクエスト・フォージェリ)

投稿日:2017年2月6日 更新日:

CSRF(クロスサイト・リクエスト・フォージェリ)とは?

ウェブサイトの中にはログイン機能を設けているものが多々ありますが、ログインした利用者からのリクエストについて、利用者が意図したリクエスト化を識別する仕組みを持たない場合、悪意のあるリクエストを受け入れてしまう可能性があります。この場合、悪意ある人が用意した罠により、利用者が予期しない処理を実行させられてしまう可能性があります。

このような問題をCSRF(クロスサイト・リクエスト・フォージェリ)の脆弱性といい、これを悪用した攻撃をCSRF攻撃といいます。

具体例もあるのでWIKIがわかりやすい。

クロスサイトリクエストフォージェリ

要は別ページ(意図しないページ)からPOSTしてしまう仕組みです。

被害

  • ログイン後の利用者のみが利用可能なサービスの悪用(不正な送金、意図しない商品購入や大会処理など)
  • ログイン後の利用者のみ編集可能な情報の改ざん、新規登録(設定の不正な変更)
  • 主にCookieを用いたセッション管理、特に金銭処理が発生するサイトなどでは非常に重要

対策

  • トークンを発行し、処理を受け取る画面でその確認をする。(最も確実性が高い。工数も中程度。)
  • Referが正しいリンク元かを確認し、正しい場合のみ処理を実行する(Refererをオフにしていると正常な画面遷移もできない。)
  • 逆になんらかの情報を確定や変更しないページでは不要。

参考(トークンチェック)

トランザクショントークン

https://github.com/umanari145/secure

-サーバー・ネットワーク
-

執筆者:


comment

メールアドレスが公開されることはありません。 が付いている欄は必須項目です

関連記事

no image

PHP_CodeSnifferによるコードチェック

昨日の記事でphpmdという静的解析ツールを調査したんですが、それ以外にも規約にのっとっているかどうかコーディングをチェックできるツールはあります。 PHP_CodeSniffer https://g …

no image

CodeDeployに関して

近年のプロジェクトではアプリのデプロイに関して、サーバーに入ってgitコマンドを打つようなケースは減ってきており、何らかのデプロイツールを使ってやることが一般的。 Contents1 CIツールを使っ …

no image

PHP7に関して

先週きづいたのですが、PHPが5.6から7になりましたね。 まあ当分はまだPHP5で開発していきますが、herokuがいきなり7になり、アプリが動かないということが起こりました。 7対応させたかったん …

no image

ログ抽出コマンド特集 その2 シェルスクリプトの算術計算、配列とループ

前回の続きですが、ログを収集し、分布(80%台が~%、70%台が~%)を出したいとします。 Contents1 ロジック2 ソース3 気づいたこと4 参考リンク ロジック ロジックは以下のような流れに …

no image

ansible host指定,変数の外だし,ユーザー追加

Ansibleにてhostユーザーやユーザーの追加などす。 Contents1 ホストの指定2 ユーザーの追加2.1 変数を別ファイルに2.2 パスワードのハッシュ化2.3 パスワードなしでsudo2 …

アーカイブ