攻撃手法

クロスサイトリクエストフォージェリ(CSRF)について

2018年1月6日

クロスサイトリクエストフォージェリ(CSRF)の攻撃手順を記載します。

  1. 銀行ユーザのALICEが銀行のWebサイトから、BOBの口座に$100を入金することを想定します。
    その時、図のようなHTTPリクエストがクライアントから銀行のサーバに送られます。

    CSIRF1 Fotor

  2. 攻撃者は、事前にメールや掲示板で不正URLをばらまいておきます。URLをユーザが踏むと、図のようなHTTPリクエストが銀行のサーバに送られ、アプリケーションがコミット処理をすれば、MARIAの口座に$10000が振り込まれる仕組みです。CSIRF1 Fotor2
  3. ユーザALICEがたまたま銀行のWebサイトとセッションを張っている状態の時に、攻撃者が仕掛けたURLにアクセスしてしまうと、銀行のサーバはユーザの確立したセッションにおいて、正当なHTTPリクエストが来たと勘違いして処理するため、MARIAの口座に$10000を振り込んでしまいます。CSIRF1 Fotor3


    ”セッションを偽って、ユーザにコミット処理をさせる”

    銀行のWebサイトに、ユーザALICEのブラウザからのHTTPリクエストかどうかをチェックする実装が欠けていることが原因で本攻撃が可能になってしまいます。

    参考:https://ja.wikipedia.org/wiki/クロスサイトリクエストフォージェリ

CATEGORIES & TAGS

攻撃手法,

Author:


comment

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

関連記事

むるし

インフラ系エンジニア。備忘録で色々書いていきます。
現在テックキャンプでフルコミット中。

年収訴求

CodeCamp

縛りなしWiFi

%d人のブロガーが「いいね」をつけました。