書ç±ã€ŽWebアプリケーションセã‚ュリティ対ç–入門ã€ã®CSRF脆弱性 | 徳丸浩ã®æ—¥è¨˜å›³ã®ã‚ˆã†ã«ã€å¤§åž£æœ¬ã®CSRF対ç–æ–¹å¼ï¼ˆä»¥ä¸‹ã€ã€Œå¤§åž£æ–¹å¼ã€ã¨è¡¨è¨˜ï¼‰ã§ã¯ã€ãƒˆãƒ¼ã‚¯ãƒ³ï¼ˆåŒæ›¸ã§ã¯ãƒ•ã‚©ãƒ¼ãƒ IDã¨è¡¨è¨˜ï¼‰ã‚’ランダムãªéµã¨ã—ã¦ç”Ÿæˆï¼ˆâ‘¡ï¼‰ã—ã€ãれをフォームã®éš ã—フィールドã¨DBã«ä¿å˜ã—ã¾ã™ï¼ˆâ‘¢ã€â‘£ï¼‰ã€‚ユーザーãŒãƒ•ã‚©ãƒ¼ãƒ をサブミット（⑤）ã™ã‚‹ã¨ã€é€ä¿¡ã•ã‚Œã¦ããŸãƒˆãƒ¼ã‚¯ãƒ³ãŒDB上ã«å˜åœ¨ã™ã‚‹ã‹ç¢ºèªï¼ˆâ‘¥ï¼‰ã—ã€ã‚ã‚Œã°ãƒˆãƒ¼ã‚¯ãƒ³ã‚’削除（⑦）ã—ã¦ã€ã‚µãƒ¼ãƒãƒ¼ä¸Šã®å‡¦ç†ã«é€²ã¿ã¾ã™ã€‚â‘¥ã§ãƒˆãƒ¼ã‚¯ãƒ³ãŒDBã«ãªã„å ´åˆã¯ã€ã‚¨ãƒ©ãƒ¼ã¨ã—ã¦å‡¦ç†ã«ã¯é€²ã¿ã¾ã›ã‚“。 一般的ãªCSRF対ç–手法ã¨ã®é•ã„ 大垣方å¼ãŒä¸€èˆ¬çš„ãªCSRF対ç–ã¨ç•°ãªã‚‹ç‚¹ã¯ä»¥ä¸‹ã®2点ã§ã™ã€‚ フォームã®2é‡æŠ•ç¨¿é˜²æ¢æ©Ÿèƒ½ã‚’å…¼ãã¦ã„ã‚‹ トークンãŒã‚»ãƒƒã‚·ãƒ§ãƒ³å¤‰æ•°ã§ã¯ãªãDBã«ä¿å˜ã•ã‚Œã‚‹ トークンã®æœ‰åŠ¹ç¯„囲ã¯? トークンãŒDBã«ä¿å˜ã•ã‚Œã‚‹å ´åˆã€ãƒˆãƒ¼ã‚¯ãƒ³ã®æœ‰åŠ¹ç¯„囲ãŒæ°—ã«ãªã‚‹ã¨ã“ã‚ã§ã™ã€‚大垣本ãŠã‚ˆã³ç¬¬äºŒç‰ˆã®ã‚½ãƒ¼ã‚¹ã‚’見るã¨ã€ãƒˆãƒ¼ã‚¯ãƒ³ã‚’ä¿å˜ã™ã‚‹ãƒ†ãƒ¼ãƒ–ルã®å®šç¾©ã¯ä»¥ä¸‹ã®é€šã‚Šã§ã™ã€‚ CR
クラウドを支ãˆã‚‹ã“ã‚Œã‹ã‚‰ã®æš—å·æŠ€è¡“ - Cybozu Inside Out | サイボウズエンジニアã®ãƒ–ãƒã‚°
2014å¹´10月江戸å‰ã‚»ã‚ュリティ勉強会資料 -ã‚»ã‚ュリティ技術者ã«ãªã‚‹ã«ã¯-
連載記事 「ゼãƒã‹ã‚‰å§‹ã‚ã‚‹Linuxã‚»ã‚ュリティã€
{{#tags}}- {{label}}
{{/tags}}