クロスサイトリクエストフォージェリ

セキュリティ

CSRFとは？

　状態:- 　閲覧数:2,122 　投稿日:2010-11-02 　更新日:2014-06-06 　
Cross-Site Request Forgeries
・正規のユーザーがWebアクセスしている最中に，ユーザーの意図とは違う操作をさせられてしまう攻撃手法
・Webアプリとの間にセッションが張られているユーザーにスクリプト付きのWebページを送り込み，そのスクリプトにWebアプリを利用させる
・ユーザーが気付かない間に取引されてしまったりする

対策


1.実行ページへ遷移する直前のページで、「hidden パラメータ」に秘密情報が挿入されるよう、実装
2.処理を実行するページへは POST メソッドでアクセス
3.実行ページではその値が正しい場合のみ処理を実行する

具体的な例
・「入力画面 → 確認画面 → 登録処理」のようなページ遷移

1.秘密情報を「hidden パラメータ」に出力
・利用者の入力内容を確認画面として出力する際、合わせて秘密情報を「hidden パラメータ」に出力する

秘密情報生成方法
・下記2通りある
・セッション管理に使用しているセッション ID を用いる方法
・セッション ID とは別のもうひとつの ID（第 2 セッション ID）をログイン時に生成して用いる方法

生成する ID
・暗号論的擬似乱数生成器を用いて、第三者に予測困難なように生成する

2.処理を実行するページへは POST メソッドでアクセス
・GET メソッドで行った場合、外部サイトに送信される Referer に秘密情報が含まれてしまう

3.実行ページではその値が正しい場合のみ処理を実行する
・確認画面から登録処理のリクエストを受けた際は、リクエスト内容に含まれる「hidden パラメータ」の値と、秘密情報とを比較
・一致しない場合は登録処理を行わないようにする

・上記実装であれば、攻撃者が「hidden パラメータ」に出力された秘密情報を入手できない限り、攻撃は成立しない

register_globals

コメント投稿(ログインが必要)



類似度ページランキング
順位 ページタイトル抜粋 ％
1 クロスサイトリクエストフォージェリ 76
2 クロスサイトスクリプティング 44
3 インターフェイス 40
4 クロージャ 36
5 オブジェクト 35
6 ｢インターフェイス｣｢抽象クラス｣違い 33
7 マジッククオート 32
8 Iterator インターフェイス 29
9 SQLインジェクション 29
10 オブジェクトの評価／比較 28
11 リソース型 27
12 エスケープ 27
13 オブジェクト関係マッピング 27
14 リファレンス 26
15 デフォルト引数 25
16 ラッパークラス 25
17 エラーメッセージ 24
18 リファレンス渡し 24
19 ポリモーフィズム 24
20 グローバルスコープ 23
2025/12/05 15:02 更新
週間人気ページランキング ／ 11-28 → 12-4
順位 ページタイトル抜粋 アクセス数
1 ブラウザを閉じたらセッションデータはどうなるの？ | セッション 4
2 クロージャ | 関数 3
2 set_error_handler | 例外処理(制御構造) 3
2 「POSIX正規表現」と「PCRE正規表現」の違い 3
2 curl で Cookie を使用する 3
3 言語構造 2
3 Warning: strlen() expects parameter 1 to be string, array given in ○○.php on line △△ | Warning(エラーメッセージ) 2
3 Parse error: syntax error, unexpected 'public' (T_PUBLIC) | Parse error(エラーメッセージ) 2
3 PHPで定数を定義する方法は2種類ある ／ 配列定数の定義 2
3 Fatal error: Uncaught Error: Call to a member function modify() on string | Fatal error(エラーメッセージ) 2
3 Fatal error: Uncaught League\OAuth1\Client\Credentials\CredentialsException: Received HTTP status code [401] with message "現在この機能は一時的にご利用いただけません" when getting token credentials. | Fatal error(エラーメッセージ) 2
3 define と const の違い | 定数 2
3 MySQL接続方法比較 | データベース関連 2
3 ob紛らわしい関数()一覧 | 出力バッファリング制御(関数) 2
3 エラーレベル | エラー設定(エラーメッセージ) 2
3 対応例1.メモリ不足なので、PHPの最大使用メモリを増加するよう変更 2
3 PHPにおけるメソッドのオーバーライドについて ／「引数の数や型は、親クラスのメソッドと完全に一致していなければなりません。」とは具体的にどういう意味ですか？ 2
3 Warning: mb_convert_encoding(): Unable to detect character encoding | Warning(エラーメッセージ) 2
3 Parse error: syntax error, unexpected 'new' (T_NEW) | Parse error(エラーメッセージ) 2
3 Mailer Error: SMTP connect() failed. https://github.com/PHPMailer/PHPMailer/wiki/Troubleshooting | エラーメッセージ 2
2025/12/5 1:01 更新