Rails ã«ã¦ XMLHttpRequest 㧠POST ã™ã‚‹ã¨ã‚»ãƒƒã‚·ãƒ§ãƒ³ãŒåˆ‡ã‚Œã‚‹ - å見プãƒã‚°ãƒ©ãƒžã®èªžã‚Šï¼ã”多分ã«æ¼ã‚Œãšãƒãƒžã£ãŸã®ã§æ›¸ã„ã¦ãŠãã¾ã™ã€‚(Ruby 1.9.3, Rails 3.2.2) Rails ã«ã¯ã‚»ãƒƒã‚·ãƒ§ãƒ³å¤‰æ•° session ãŒã‚ã‚Šã¾ã™ãŒã€ã‚¿ã‚¤ãƒ アウトã§ã‚‚ãªã„ã®ã«ã“ã‚ŒãŒä½•æ•…ã‹ç©ºã«ãªã£ã¦ã—ã¾ã†ç¾è±¡ãŒç™ºç”Ÿã—ã¦ã€ã‹ãªã‚Šæ‚©ã‚“ã§ã¾ã—ãŸã€‚ã©ã†ã‚‚ JavaScript ã§ç›´æŽ¥ XMLHttpRequest 発行ã™ã‚‹ã¨ç™ºç—‡ã™ã‚‹ã‚ˆã†ã§ã™ã€‚GET ã§ã¯ãªã POST ã—ãŸã¨ãã®ã¿ã®ã‚ˆã†ã§ã™ã€‚ 解決ç–ã§ã™ãŒã€ãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ˜ãƒƒãƒ€ã« 'X-CSRF-Token' ã‚’è¿½åŠ ã™ã‚Œã°è‰¯ã„よã†ã§ã™ã€‚ function post_xhr_request( url, param, on_ready ) { xhr = new XMLHttpRequest(); xhr.open( 'POST', url, true ); xhr.setRequestHeader( 'X-CSRF-Token', /* token
JVNDB-2012-000029 - JVN iPedia - 脆弱性対ç–æƒ…å ±ãƒ‡ãƒ¼ã‚¿ãƒ™ãƒ¼ã‚¹
ãƒã‚°ã‚¤ãƒ³æ©Ÿèƒ½ã¸ã®CSRFã«ã‚ˆã‚‹ã‚»ãƒƒã‚·ãƒ§ãƒ³å›ºå®š - 知らãªã„ã‘ã©ãã£ã¨ãã†ã€‚
CSRF対ç–ã®ãƒˆãƒ¼ã‚¯ãƒ³ã‚’ワンタイムã«ã—ãŸã‚‰æ„図ã«åã—ã¦è„†å¼±ã«ãªã£ãŸå®Ÿè£…例
ワンタイムトークン｜脆弱性診æ–.jp
CWE-352
ã‚»ã‚ュリティ講習(7)Same Origin Policy
é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - クãƒã‚¹ã‚µã‚¤ãƒˆãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªï¼ˆCSRF）対ç–ãŒã„ã¾ã„ã¡é€²ã¾ãªã‹ã£ãŸã®ã¯ãªãœã‹
é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - CSRF対ç–ã«ã€Œãƒ¯ãƒ³ã‚¿ã‚¤ãƒ トークンã€æ–¹å¼ã‚’推奨ã—ãªã„ç†ç”±
pixiv開発者ブãƒã‚°:ï¼»ä¸å…·åˆå ±å‘Šï¼½æ„図ã—ãªã„作å“ã¸ã®ã‚³ãƒ¡ãƒ³ãƒˆã«ã¤ã„ã¦
「ヘタクソã€pixivã«æ„図ã›ãšä¸å‚·ã‚³ãƒ¡ãƒ³ãƒˆã€€CSRF脆弱性を悪用
ã¸ã¼ã¸ã¼CTO日記 - Plackã«ãŠã‘ã‚‹CSRFã¨DNS-Rebinding対ç–
soheiã®ãƒ–ックマーク / 2009å¹´12月19æ—¥ - ã¯ã¦ãªãƒ–ックマーク
ã¯ã¾ã¡ã‚„ï¼’ on Twitter: "「ã»ã¾ã¡ã‚„ã€ã®åå‰ã§ã¼ãã®ä½•ã‹ã‚’模倣ã—ãŸã‚‚ã®ãŒå‡ºå›žã£ã¦ã‚‹ã¿ãŸã„。 urlè¸ã‚€ã¨ä½•ã‹ã‚’å‹æ‰‹ã«è¿½è¨˜ã™ã‚‹ã®ã§ã¯ãªãã¦ã€å…ƒã€…ã®ãƒ—ãƒãƒ•ã¨ã‹ã‚’消去ã—ã¦æ›¸ãæ›ãˆæ„ŸæŸ“ã—ã¦ã„ããŸãã„。怖ã„ãã€‚é€šå ±ã—ã¨ã“ã£ã¨"
ミニミニブãƒã‚°ã«CSRF脆弱性 - ockeghem's blog
ã‚»ã‚ュアãªPHPアプリケーションを作æˆã™ã‚‹ãŸã‚ã®7ã¤ã®ç¿’æ…£ | 水無月ã°ã‘らã®ãˆã³æ—¥è¨˜
サイボウズã®ã‚°ãƒ«ãƒ¼ãƒ—ウェア製å“ã«3件ã®è„†å¼±æ€§
é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - ãƒãƒžãƒã‚’ã¡ã‚ƒã‚“ã¨ãƒ†ãƒªãƒ¤ã‚ã«ã™ã‚‹ã®ã¯é›£ã—ã„, CSRF脆弱性をçªã攻撃行為をç¾è¡Œæ³•ã§å‡¦ç½°ã§ãã‚‹ã‹
諸å›ã€€ç§ã¯è„†å¼±æ€§ãŒå¥½ãã 
Amazonã®ã™ã”ã„アクセス解æžã‚µãƒ¼ãƒ“ス - ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼
{{#tags}}- {{label}}
{{/tags}}