PHP逆引き大全 516の極意

セキュアプログラミングの極意 - Tips463 クロスサイトリクエストフォージェリ(CSRF)の攻撃手法を理解する

登録タグ
PHP
Icon comment count 0
Icon stock count 0

7-7安全なリクエスト送信処理Tips463 クロスサイトリクエストフォージェリ(CSRF)の攻撃手法を理解する

Level2

Point入力フォームを伴うサイトに潜む脆弱性を理解する

クロスサイトリクエストフォージェリ(Cross site request forgeries)は、攻撃者が被害者に、被害者自身の操作で意図しないHTTPリクエストを送信させる攻撃手法です。自身の意図しない操作によって、被害者自身が悪意のある書き込みをしたり、不本意に買い物をさせられる可能性があります。一般的には、頭文字をとってCSRFと表記します。

悪意はないが脆弱であるサイトwebsite.example.jpがあるとします。website.example.jpは、かんたんログイン機能を設定すれば認証無しでログインでき、利用者が自身の日記を書き込めるサイトであるとします。

このサイトには、input.phpとthanks.phpの2つが存在します。input.phpは日記を書くための入力エリアがある画面、thanks.phpは日記の書き込みを表示する画面です。2つのファイルの中身を以下に記します。

リスト1input.php
<?php session_start();?

出典情報

Medium

PHP逆引き大全 516の極意

  • 著者: 大家 正登, 茂木 健一, 鮫島 康浩, 谷中 志織

コメント

    コメントはありません