クロスサイトリクエストフォージェリ

セキュリティ

CSRFとは?

 状態:-  閲覧数:1,963  投稿日:2010-11-02  更新日:2014-06-06  
Cross-Site Request Forgeries
・正規のユーザーがWebアクセスしている最中に,ユーザーの意図とは違う操作をさせられてしまう攻撃手法
・Webアプリとの間にセッションが張られているユーザーにスクリプト付きのWebページを送り込み,そのスクリプトにWebアプリを利用させる
・ユーザーが気付かない間に取引されてしまったりする


対策


1.実行ページへ遷移する直前のページで、「hidden パラメータ」に秘密情報が挿入されるよう、実装
2.処理を実行するページへは POST メソッドでアクセス
3.実行ページではその値が正しい場合のみ処理を実行する

具体的な例
・「入力画面 → 確認画面 → 登録処理」のようなページ遷移

1.秘密情報を「hidden パラメータ」に出力
・利用者の入力内容を確認画面として出力する際、合わせて秘密情報を「hidden パラメータ」に出力する

秘密情報生成方法
・下記2通りある
・セッション管理に使用しているセッション ID を用いる方法
・セッション ID とは別のもうひとつの ID(第 2 セッション ID)をログイン時に生成して用いる方法

生成する ID
・暗号論的擬似乱数生成器を用いて、第三者に予測困難なように生成する

2.処理を実行するページへは POST メソッドでアクセス
・GET メソッドで行った場合、外部サイトに送信される Referer に秘密情報が含まれてしまう

3.実行ページではその値が正しい場合のみ処理を実行する
・確認画面から登録処理のリクエストを受けた際は、リクエスト内容に含まれる「hidden パラメータ」の値と、秘密情報とを比較
・一致しない場合は登録処理を行わないようにする

・上記実装であれば、攻撃者が「hidden パラメータ」に出力された秘密情報を入手できない限り、攻撃は成立しない


register_globals

コメント投稿(ログインが必要)



週間人気ページランキング / 5-24 → 5-30
順位 ページタイトル抜粋 アクセス数
1 PHPにおけるメソッドのオーバーライドについて /「引数の数や型は、親クラスのメソッドと完全に一致していなければなりません。」とは具体的にどういう意味ですか? 5
2 http_build_queryとは? / 構文 /パラメータ 4
2 Parse error: syntax error, unexpected 'public' (T_PUBLIC) | Parse error(エラーメッセージ) 4
3 セッション管理が必要な理由は、HTTPプロトコルには状態を保持する機能がないため | セッション 3
3 htmlspecialchars / htmlentities / addslashes / mysql_real_escape_string / mysqli_real_escape_string | セキュリティ 3
3 ブラウザを閉じたらセッションデータはどうなるの? | セッション 3
4 ( ! ) Fatal error: Uncaught PDOException: SQLSTATE[22001]: String data, right truncated: 1406 Data too long for column | Fatal error(エラーメッセージ) 2
4 set_error_handler | 例外処理(制御構造) 2
4 $this | クラスとオブジェクト 2
4 Fatal error(エラーメッセージ) カテゴリー 2
4 PHPで定数を定義する方法は2種類ある / 配列定数の定義 2
4 Warning: session_write_close(): Failed to write session data (user) | Warning(エラーメッセージ) 2
4 ( ! ) Warning: Declaration of xxxx should be compatible with | エラーメッセージ 2
4 ( ! ) Fatal error: Uncaught Abraham\TwitterOAuth\TwitterOAuthException: {"errors":[{"code":32,"message":"Could not authenticate you."}]} | Fatal error(エラーメッセージ) 2
4 インポートするデータを受信できませんでした。ファイル名が送信されていないか、ファイルサイズが PHP の設定で許可された最大値を超えています。FAQ 1.16 をご覧ください | エラーメッセージ 2
4 Fatal error: require_once(): Failed opening required 'PEAR.php' | Fatal error(エラーメッセージ) 2
4 Fatal error: Uncaught Wrench\Exception\HandshakeException: No accept header receieved on handshake response in ★★★ headless-chromium-php/vendor/wrench/wrench/lib/Wrench/Protocol/Protocol.php | エラーメッセージ 2
4 Fatal error: Uncaught Error: Call to a member function modify() on string | Fatal error(エラーメッセージ) 2
4 可変変数 | 変数 2
4 クロージャ | 関数 2
2025/5/31 1:01 更新