ãƒã‚°ã‚¤ãƒ³æ©Ÿèƒ½ã¸ã®CSRFã«ã‚ˆã‚‹ã‚»ãƒƒã‚·ãƒ§ãƒ³å›ºå®š - 知らãªã„ã‘ã©ãã£ã¨ãã†ã€‚å±é™ºãªã®ã‹ã‚ˆãã‚ã‹ã‚“ãªã„ã§ã™ã‘ã©ã€ã¯ã¦ãƒ€åˆã‚書ãã¾ã™ http://ido.nu/ayaya/yj.html（対ç–ã•ã‚Œã¦ãŸï¼ï¼‰ iframe 内㧠http://login.yahoo.co.jp/config/login ã« logout=1 ã‚’ POST ã—ã¦å¼·åˆ¶çš„ã«ãƒã‚°ã‚¢ã‚¦ãƒˆçŠ¶æ…‹ã«ã™ã‚‹ ãƒã‚°ã‚¤ãƒ³ãƒ•ã‚©ãƒ¼ãƒ ã® form タグ部分をスクレイピングã—ã€ã‚らã‹ã˜ã‚用æ„ã—ã¦ãŠã„㟠Yahoo! JAPAN ID ã¨ãƒ‘スワードを埋ã‚込む ãã® HTML ã‚’ iframe ã«ãƒãƒ¼ãƒ‰ã—ã€submit() 㧠POST ã•ã›ã‚‹ã“ã¨ã«ã‚ˆã‚Šã€ç”¨æ„ã—ã¦ãŠã„ãŸã‚¢ã‚«ã‚¦ãƒ³ãƒˆã§ãƒã‚°ã‚¤ãƒ³ã•ã›ã‚‹ メールã§ã€Œä½æ‰€æƒ…å ±ã‚’æ›´æ–°ã—ãªã„ã¨ã‚¢ã‚«ã‚¦ãƒ³ãƒˆãŒæ¶ˆãˆã¾ã™ã€ã¨ã‹æ›¸ã„ã¦èª˜å°Žã—ãŸã‚‰ã€ã©ã®ãらã„釣れるã‹ãªã‚ ã‚ーã‚ã¨ã€å€‹äººæƒ…å ±ã®å…¥åŠ›ã ã‘ã˜ã‚ƒãªãã¦ã€OAuth ã®èªå¯ã¨ã‹æ¨©é™ã‚’与ãˆã‚‹æ“作もã¾ãšã„ ページ㯠SSL ã«ãªã£ã¦ã„ã¦ã€ã‚¢ãƒ‰ãƒ¬ã‚¹
OAuth: 2009.1 OAuth Security Advisory
OAuthã®ã‚»ãƒƒã‚·ãƒ§ãƒ³å›ºå®šæ”»æ’ƒã«ã¤ã„ã¦ï¼ˆç¿»è¨³ï¼‰ - ã‚‚ã®ãŒãŸã‚Š(æ—§)
OAuthã«è„†å¼±æ€§ã€Twitterã‚„Yahoo!ãŒAPIã‚’åœæ¢ ï¼ ï¼ IT
ã¨ãã¾ã‚‹ã²ã‚ã—ã®Session Fixation攻撃入門 - ockeghem's blog
{{#tags}}- {{label}}
{{/tags}}