おさらいnote~第15回 クロスサイトリクエストフォージュリ~

こんばんは。宮下です。
今回は攻撃手法の一つであるクロスサイトリクエストフォージュリをおさらいしていこうと思います。よろしくお願いします！

1.クロスサイトリクエストフォージュリとは？

クロスサイトリクエストフォージュリとは、ログイン中のユーザーに対して何らかの方法により、意図しないリクエストを送信させるように仕向けることです。
この攻撃の影響として、

1. 利用者アカウントによる物品購入

2. 利用者の退会処理

3. 利用者アカウントによる掲示板などへの書き込み

4. 利用者アカウント情報の変更

5. オンラインバイキングでの不正送金

が懸念されます。

2.挙動

例えば、「パスワード変更画面にて、パスワードを特定のものに変更するリクエスト」を含むリンクを攻撃者がAさんにメールなどで送ります。
Aさんは、そのリンクをクリックすることで、パスワードがユーザーが意図しないパスワードに変更されてしまいます。

クロスサイトリクエストフォージリの悪用例

3.対策

・発生原因
任意のサイトからのリクエスト要求を受け付けている。
Cookieに保存されたセッションIDが自動的に送信されている。
利用者が意図したリクエストであるかどうかを判断できる仕組みがない

・対策
処理まえに正規利用者であることを確認する。
　・トークン（秘密情報）の埋め込み
　・パスワードの入力
　・Refererの確認
処理後に事前登録済みメールアドレスに通知メールを送信し、処理内容を確認するように促す。