- ベストアンサー
webアプリケーションの脆弱性とは？
- 最近、CSRF攻撃について勉強していますが、mixiでの「ぼくはまちちゃん事件」が気になります。
- 攻撃方法として、踏みやすそうなリンクを使って、勝手にフォームをサブミットしてしまうというもののようです。
- ただ、mixiの場合は書き込み内容の確認ページが表示されるのか、ダミーページが表示されるのか気になります。
- simizukiyo
- お礼率12% (18/145)
- ネットワーク
- 回答数1
- ありがとう数12
- みんなの回答 （1）
- 専門家の回答
質問者が選んだベストアンサー
こんにちは！ 「フォームを勝手にサブミットしてしまう」 その認識でだいたいあってます！たぶん！ そのmixiの例だと、 入力画面 → (送信1) → 確認画面 → (送信2) → 完了 ってなるわけですが、 いくら確認画面が間にあったところで、 (送信2)の部分を「勝手にサブミット」しちゃえばいいわけです。 ※ただし今のmixiや、ちゃんとしたwebサービスは送信時にトークンをつけるとかCSRF対策してるのでできません 実際の攻撃の例としては、mixiやtwitterなどの多くの人が繋がっている投稿型サイトで、 「こんにちはこんにちは！！ このリンク先すごいよ！ http://～」 のような書き込みをしておき、 そのリンク先でformやJavaScript等で「自動的に勝手にサブミット」してしまいます。 画面には何も表示されなくてもかまいません。 そしてさらに勝手に書き込む内容を 「こんにちはこんにちは！！ このリンク先すごいよ！ http://～」 のようにしてしまうことで、まるでワーム型ウイルスのように、 友達の繋がりを通じて連鎖的に広がります。 他には、GETリクエストで何らかの処理をされてしまうwebアプリに対して imgタグやiframeなどで、誰かに「勝手にリクエストを送信させてしまう」 なんてのもCSRFの事例のひとつです。 こわいですね。 このあたりのことを漫画で解説しているサイトもあるので、 いちどご覧になってみてはいかがでしょうか！ http://gihyo.jp/dev/serial/01/hamachiya2/0001 絵がとってもかわいいですよ！ あ、あと動画もありました。 http://www.youtube.com/watch?v=TcXO6v8BS1g
お礼
まさか・・・ぼくはまちちゃん事件の仕掛け人ご本人の方ですか！？ww とてもわかりやすい回答有難うございました。 絵、動画共に見やすくて理解が深まりました！