クロスサイトリクエストフォージェリ

セキュリティ

CSRFとは？

　状態:- 　閲覧数:2,124 　投稿日:2010-11-02 　更新日:2014-06-06 　
Cross-Site Request Forgeries
・正規のユーザーがWebアクセスしている最中に，ユーザーの意図とは違う操作をさせられてしまう攻撃手法
・Webアプリとの間にセッションが張られているユーザーにスクリプト付きのWebページを送り込み，そのスクリプトにWebアプリを利用させる
・ユーザーが気付かない間に取引されてしまったりする

対策


1.実行ページへ遷移する直前のページで、「hidden パラメータ」に秘密情報が挿入されるよう、実装
2.処理を実行するページへは POST メソッドでアクセス
3.実行ページではその値が正しい場合のみ処理を実行する

具体的な例
・「入力画面 → 確認画面 → 登録処理」のようなページ遷移

1.秘密情報を「hidden パラメータ」に出力
・利用者の入力内容を確認画面として出力する際、合わせて秘密情報を「hidden パラメータ」に出力する

秘密情報生成方法
・下記2通りある
・セッション管理に使用しているセッション ID を用いる方法
・セッション ID とは別のもうひとつの ID（第 2 セッション ID）をログイン時に生成して用いる方法

生成する ID
・暗号論的擬似乱数生成器を用いて、第三者に予測困難なように生成する

2.処理を実行するページへは POST メソッドでアクセス
・GET メソッドで行った場合、外部サイトに送信される Referer に秘密情報が含まれてしまう

3.実行ページではその値が正しい場合のみ処理を実行する
・確認画面から登録処理のリクエストを受けた際は、リクエスト内容に含まれる「hidden パラメータ」の値と、秘密情報とを比較
・一致しない場合は登録処理を行わないようにする

・上記実装であれば、攻撃者が「hidden パラメータ」に出力された秘密情報を入手できない限り、攻撃は成立しない

register_globals

コメント投稿(ログインが必要)



類似度ページランキング
順位 ページタイトル抜粋 ％
1 クロスサイトリクエストフォージェリ 76
2 クロスサイトスクリプティング 44
3 インターフェイス 40
4 クロージャ 36
5 オブジェクト 35
6 ｢インターフェイス｣｢抽象クラス｣違い 33
7 マジッククオート 32
8 Iterator インターフェイス 29
9 SQLインジェクション 29
10 オブジェクトの評価／比較 28
11 リソース型 27
12 エスケープ 27
13 オブジェクト関係マッピング 27
14 リファレンス 26
15 デフォルト引数 25
16 ラッパークラス 25
17 エラーメッセージ 24
18 リファレンス渡し 24
19 ポリモーフィズム 24
20 グローバルスコープ 23
2025/12/08 16:46 更新
週間人気ページランキング ／ 12-1 → 12-7
順位 ページタイトル抜粋 アクセス数
1 ブラウザを閉じたらセッションデータはどうなるの？ | セッション 5
2 Parse error: syntax error, unexpected 'new' (T_NEW) | Parse error(エラーメッセージ) 3
2 PHPにおけるメソッドのオーバーライドについて ／「引数の数や型は、親クラスのメソッドと完全に一致していなければなりません。」とは具体的にどういう意味ですか？ 3
3 「POSIX正規表現」と「PCRE正規表現」の違い 2
3 Warning: mb_convert_encoding(): Unable to detect character encoding | Warning(エラーメッセージ) 2
3 ob紛らわしい関数()一覧 | 出力バッファリング制御(関数) 2
3 Fatal error: Access level to ▲::$△ must be protected (as in class ●) or weaker | Fatal error(エラーメッセージ) 2
3 Parse error: syntax error, unexpected 'public' (T_PUBLIC) | Parse error(エラーメッセージ) 2
3 Mailer Error: SMTP connect() failed. https://github.com/PHPMailer/PHPMailer/wiki/Troubleshooting | エラーメッセージ 2
3 Trying to get property of non-object　 | Notice(エラーメッセージ) 2
3 curl で Cookie を使用する 2
3 set_error_handler | 例外処理(制御構造) 2
3 Generators | Generator クラス(定義済みのインターフェイスとクラス) 2
3 セッション管理が必要な理由は、HTTPプロトコルには状態を保持する機能がないため | セッション 2
3 Fatal error: Uncaught Error: Call to a member function modify() on string | Fatal error(エラーメッセージ) 2
3 No route found fo | エラーメッセージ 2
4 整数型（integer） | 型 1
4 クロスサイトスクリプティング | セキュリティ 1
4 register_shutdown_function | 関数処理 関数 1
4 Fatal error: Non-abstract method クラス名::メソッド名 must contain body in ○○.php on line △△ | Fatal error(エラーメッセージ) 1
2025/12/8 1:01 更新