[B! CSRF] Itisangoのブックマーク

Itisango id:Itisango

CSRFに関するItisangoのブックマーク (18)

さいきょうの二重サブミット対策 - Qiita
この記事はシステムエンジニア Advent Calendar 2015 - Qiitaの記事です。弊社アーキ部で@kawasimaさんに教えてもらったさいきょうの二重サブミット対策について書いていきます！二重サブミットが発生するケース不正な更新リクエストが発生するケースとして、以下のものが考えられます。サブミットボタンをダブルクリックする戻るボタンで戻って、再度保存ボタンを押す完了ページでブラウザリロードする CSRF攻撃による不正な更新リクエスト 1. サブミットボタンをダブルクリックする確定ボタンをダブルクリックすることによって、ユーザが意図していないリクエストが発生してしまうケース。 2. 戻るボタンで戻って、再度保存ボタンを押す処理完了画面から戻るボタンで前の画面に遷移し、再び確定ボタンを押すケース。本来は入力➡︎確認➡︎完了の画面遷移が適切だが、その画面遷移にな
Itisango 2015/12/24
java

programming

qiita

csrf

セキュリティ

Advent

あとで読む

Advent Calendar

advent calendar 2015
リンク
Interactive Reading Community (Ver.6)
Itisango 2013/12/11
“今回着目するHTML5の技術はXMLHttpRequest Level 2（以下、XHR2）です。ブラウザ搭載のスクリプト言語でサーバとのHTTP通信を行うための仕組みでページ遷移なしにHTTP通信をすることが可能です。”

HTML5

body

Security

CSRF

HTML

Web

application

report

document

2013年
リンク
ルーターの脆弱性を探して侵入する手順 - 素人がプログラミングを勉強していたブログ
更新し忘れたが、既に下記の脆弱性は修正されている 4/11/2013 6:42 PM追記:　明日エンジニアと調査するとカスタマーサポートから連絡があり、また近日アップデートパッチを用意するとのことだ。先日紹介した、Satechi Smart Travel Routerだが、ふと直感的にセキュリティに問題があるような予感がしたので、自分のルーターをアタックしてみた。結果から言うとCSRFが存在し、外部からインターネット越しに細工をしてあるURLを踏ませることで、ルーターのパスワード、SSIDを書き換えたり、WiFi to WiFiのリピータ機能のソースとなるWiFiを勝手に別の場所に書き換えて、Man in the middle攻撃を成立させたりできることが発覚した。自分がどのようにSatechi Smart Travel Routerの脆弱性を発見したのかを動画にとったので、無編集
Itisango 2013/11/04
“SSIDを書き換えたり、WiFi to WiFiのリピータ機能のソースとなるWiFiを勝手に別の場所に書き換えて、Man in the middle攻撃を成立させたりできることが発覚した。”

network

security

script

router

JavaScript

CSRF

2013年

MITM

SSID

脆弱性
リンク
HTML5関連のセキュリティ情報 - 葉っぱ日記
HTML5に関連したセキュリティの話題で、とりあえずこれまでに話した資料の一覧や、考察した記事。今後もっと増える予定です。﹁このAPI使う上で気を付けることないの？﹂みたいなリクエストもあればぜひ言って下さいませ。 JavaScript Security beyond HTML5 (2013-09-20 Developers Summit Kansai 2013) HTML5セキュリティその1:基礎編、XSS編 (2013-06-13 OWASP Night 6th) Web::Security beyond HTML5 (2012-09-28 YAPC::Asia 2012) HTML5時代のWebセキュリティ (2012-09-15 第5回愛媛情報セキュリティ勉強会) Same-Origin Policy とは何なのか。 - 葉っぱ日記 XMLHttpRequestを使ったCSRF対
Itisango 2013/09/25
#HTML5 #security

HTML5

web

security

セキュリティ

api

hasegawayosuke

2013年

CSRF

JSON

HTML
リンク
短縮URLは負債となる可能性が高いので作ることに恐ろしく躊躇する - キモブロ
なんていうか、存在すること自体がコストっていうのかな。一度短縮URLを始めたらそれは未来永劫維持されなければ今までに作り出したすべてのURLが無価値になってしまう。それはなぜかというと、URLからハッシュ関数により一方的にハッシュを算出することが出来て、これはmp3とかmp4みたいに情報をロスさせることにより圧縮している。ロスしただけあって、ハッシュからURLへの復元はその変換したデータベースがないと出来ない。これってすごいむちゃくちゃなことだと感じるはず。そのデータベースが失われたら今までの価値、文脈が失われる。たとえば著名な短縮URLサービスであるbitlyが消滅したとしたら、bitlyが使われた発言は何を言ってるのかわからなくなる。"そのbitlyが指し示していたコンテキスト"が失われた文章を君はどうやって理解するのかね。つまり短縮URLを作り、それが誰かに一度でも使われてしま
Itisango 2012/12/14
web

url

csrf

セキュリティ

サービス

URL短縮

考え方

security

hamachiya2

hasegawayosuke
リンク
PC遠隔操作「真犯人」からメール届く　「ミスしました。ゲームは私の負けのようです」
PC遠隔操作事件の﹁真犯人﹂を名乗る人物からのメールが落合弁護士やITmedia Newsと契約しているライターなどに届いた。﹁ミスしました﹂といった内容に1枚の写真が添付されている。 PC遠隔操作事件で、﹁真犯人﹂を名乗る人物からのメールが11月13日夜、ITmedia Newsと契約しているライターや一部報道機関などに届いた。メールには﹁ミスしました。ゲームは私の負けのようです﹂などと書かれている。メールは13日午後11時55分ごろに届いた。タイトルは﹁真犯人です。﹂とあり、“犯行声明”が送られていた落合洋司弁護士や、質問メールを送った朝日新聞など7つの宛名と、5行の本文の後に、報道機関が送った質問の内容が引用記号付きで貼り付けられている。また写真1枚が添付されている。発信元アドレスは犯行声明の送信に使われたのと同じものだった。メール本文には﹁おひさしぶりです。真犯人です。﹂﹁ミス
Itisango 2012/11/14
security

犯罪

事件

社会

web

csrf

ネット

警察

セキュリティ

news
リンク
はまちや２ on Twitter: "AmazonのKindle化リクエスト、CSRFできるね。例： http://t.co/NlJY86rp"
AmazonのKindle化リクエスト、CSRFできるね。例： http://t.co/NlJY86rp
Itisango 2012/10/26
はまちちゃん

Twitter

amazon

セキュリティ

csrf

security

2012年
リンク
トロイは「1から開発」、明大生事件はCSRF脆弱性突く――なりすまし事件“犯行声明”全文公開
なりすまし事件の犯人が送ったとされる“犯行声明メール”の全文を、送付先の1人である落合弁護士がブログで公開した。犯行に使われたトロイの木馬は犯人が1から開発したことや、警察を試す意図があったことなどが記されている。悪意のある遠隔操作プログラム︵トロイの木馬︶で他人になりすまし、犯行予告を繰り返していた一連の事件で、犯人が送ったとされるメール全文を、送付先の1人である弁護士の落合洋司さんがこのほど、ブログで公開した。犯行に使われたトロイの木馬は犯人が1から開発したことや、警察を試す意図があったことなどが記されている。落合弁護士は、﹁事件に関する関心が高まっていることや、既に一部で︵不完全なまま︶公開されつつあることも考慮﹂し、公開を決めたという。個人名やURL、メールアドレスなど﹁支障があると考えられるもの﹂は伏せた上で公開している。トロイの木馬は﹁自作﹂　明大生の事件はCSRF脆弱性
Itisango 2012/10/22
csrf

2012年

malware

脅迫

冤罪

事件

security

警察

検察

トロイの木馬
リンク
hostsにループバックアドレスを指定することでリスクが増大するケース
前のエントリhostsファイルにループバックアドレスを指定することは危険か?で、hostsにループバックアドレス（127.0.01）を記述することは危険とは言えないと書いたのですが、その後malaさんとkazuhoさんから、レアケースではあるがリスクの増加はあるよという指摘を受けました。議論の想定は、Android端末のローカル上にWebアプリケーションが動いており、それに対する攻撃が可能か否かを検討するものです。この状態で、利用者が広告よけを目的としてhostsファイルを修正して、example.comを127.0.0.1に指定しようとしていると仮定します。まず、malaさんの指摘ですが、Google+に読者限定で投稿されています。このエントリは読めない方が大半なので以下に転載します（転載の許諾はいただいています）。…と思ったらmalaさん自身が見える場所に転載いただいたいました。こ
Itisango 2012/09/27
hosts

127.0.0.1

security

dns

セキュリティ

Web

csrf

ループバックアドレス
リンク
CSRFによる冤罪、誤認逮捕か。大阪市ウェブに大量殺人予告での逮捕の件: ホットコーナー
ブログ(iiyu.asablo.jpの検索) ホットコーナー内の検索でもASAHIネット(asahi-net.or.jp)全体の検索です。検索したい言葉のあとに、空白で区切ってki4s-nkmrを入れるといいかも。例　中村(show) ki4s-nkmr ウェブ全体の検索 ASAHIネット(http://asahi-net.jp )のjouwa/salonからホットコーナー(http://www.asahi-net.or.jp/~ki4s-nkmr/ )に転載したものから。 --- 橋下徹市長の大阪市のウェブで﹁大量殺人をする﹂と投稿したという容疑で、アニメ演出家が逮捕された件。たとえば、 http://mainichi.jp/select/news/20120827k0000m040038000c.html 殺人予告:大阪市ＨＰに書き込んだ疑いで42歳演出家逮捕 http://
Itisango 2012/08/27
csrf

security

セキュリティ

事件

社会

ネット

冤罪

Web

アニメ

2012年
リンク
CSRFで強制ログインさせるというアイデア - ぼくはまちちゃん！
こんにちはこんにちは！！今日はCSRF脆弱性のちょっとした話です！このCSRFってなにかっていうと、サーバーへのリクエストを﹃誰かに勝手に送らせる﹄っていうセキュリティがらみの攻撃手法のひとつ。わかりやすい例だと、 HTMLの画像タグを以下のようにしたページを誰かに教える。 <img src="何々SNSの足跡.php" width="1" height="1"> そうすると、そのページを﹁見た人﹂が何々SNSの足跡.phpにアクセスしたことになる。 ※詳しくはこちらのマンガで → ﹇はまちちゃんのセキュリティ講座﹈ここがキミの脆弱なところ…！ ‥ 第2回しーさーふって何ですか？ CSRFってこんな風に、﹁ログイン済みの人に何か操作させる﹂ってイメージが強くて、対策する側もまた、﹁既にログイン済みの人を守る﹂ような考えが強いんだよね。例えば、勝手に日記に投稿させないように対
Itisango 2012/05/22
"実はログインのフォームって、だいたいのサイトでCSRF対策してないんだよね。"

はまちちゃん

CSRF

web

web制作

security

セキュリティ
リンク
CSRFで逮捕者が出たらしい話 | 水無月ばけらのえび日記
公開: 2012年2月7日1時35分頃こんなお話が……「アニメサイト運営でトラブル　ウイルス作成罪初適用、男逮捕 (www.itmedia.co.jp)」。各紙の報道によると、男は「さっさと閉鎖しろ。さもないと、お前の両親を殺して家を燃やす」という文言を自分が運営しているサイトに書き込むプログラムを作成し、あるサイトに埋め込んだ。男は神奈川県の男性と共同でアニメサイトを運営していたが、運営方法をめぐって男性とトラブルになっていた。男は男性にメールを送り、不正プログラムを埋め込んだサイトに誘導。アクセスした男性が脅迫的な文言を自分のサイトに書き込んだように見せかけた上で、府警に「脅迫された」などと相談していたという。府警が発信記録などを調べたところ、不正プログラムがサイトに埋め込まれていたことが分かり、犯行が発覚。まず不正プログラムをサイトに埋め込んだ不正指令電磁的記録供用の疑いで2
Itisango 2012/02/07
CSRF

ばけらさん

security
リンク
RequestPolicy :: Add-ons for Firefox
RequestPolicy's new version is under development as RequestPolicy Continued. Ultimately, I'd like RequestPolicy Continued to replace RequestPolicy. RequestPolicy development has been slow because I am working on ServerPilot, a cPanel alternative for DigitalOcean servers. Thankfully, some great community members are taking over development of RequestPolicy. ---- RequestPolicy is an extension that i
Itisango 2011/02/28
CSRF

browser

security

Firefox

extension

add on
リンク
間違い2「セキュリティばかり重視」
利用者重視の設計でセキュリティ要件が抜けがちになる一方で、セキュリティばかりに目を向けて利用者の利便性をないがしろにしてしまうケースもよくある。特にセキュリティ強化が主目的のプロジェクトで、セキュリティ設計が独立して実施されたときに起こりやすい間違いである。運用を見落とさないこんなときにセキュリティ設計を担当する専門エンジニアの意見をうのみにしてはいけない。利便性にも十分に配慮する必要がある。実際にECサイトの脆弱性を修正するというプロジェクトで、利便性の確保を図ったのがゴルフダイジェスト・オンライン︵GDO︶の渡邉氏だ。渡邉氏は不正アクセス事件を機に、基本設計フェーズからセキュリティベンダーのレビューを受けるようにした。しかしセキュリティベンダーが提案してくる“安全性が最も高い方式”をそのまま採用はしないようにしている。脆弱性を修正するプロジェクトで焦点になったのは、CSRF︵C
Itisango 2011/01/07
セキュリティ

ec

ECサイト

csrf

security
リンク
WEB脆弱性のCSRF（クロスサイト・リクエスト・フォージェリ）とは？ - 小池啓仁ヒロヒト応援ブログ By はてな
普通、Webページの入力項目に対して入力をして、書き込みを押すと、その入力データがサーバーに送られます。たとえば、このWebページで、入力をしないで、悪意のあるページにアクセスしたとします。すると、それだけで悪意のある入力データがサーバーへ送られる可能性があるのです。そして、このような攻撃をCSRF（クロスサイト・リクエスト・フォージェリ）と言います。たとえば、確認のページが、以下のようになっていたとします。 <form action="commit.php" method="post"> <input type="hidden" name="new_name" value="脆弱太郎"> <input type="hidden" name="new_address" value="大阪府"> <input type="submit" name="back" value="戻る"
Itisango 2010/04/25
なんでこれがブクマされているのか理解できないままにブクマ。

WEB

アクセス

CSRF
リンク
第2回　しーさーふって何ですか？ | gihyo.jp
※　src：画像の場所を指定する属性。相対パスではなくURLで書けば、他のドメインにある画像を表示することも可能。つまりURLに対してGETリクエストを行う（閲覧者に行わせる）お手軽な手段とも言え、これを用いてなんらかの攻撃が行われることもしばしば。まとめこのように、imgタグなどによって、閲覧者のブラウザからどこかのURLへ任意のリクエストを「送らせる」ことは簡単にできてしまいます。しかも、それで発生するリクエストは、閲覧者自身がリンクをクリックしたときとなんら変わりはありません。では、これを攻撃として用いられた場合（つまりCSRF⁠）⁠、Webプログラム側ではどのように防げばよいのでしょう。きっとまっさきに思いつくのは、「⁠POSTリクエストを使うようにする⁠」⁠、あるいは「リファラヘッダ（リンク元が記載されているヘッダ行）のチェックを行う」などでしょうか。しかしそれだけでは不
Itisango 2008/10/25
次回に続くorz

web

security

はまちちゃん

csrf
リンク
CSRF | 鳩丸ぐろっさり (用語集)
用語﹁CSRF﹂についてCSRF (しーえすあーるえふ)話題 : セキュリティ CSRF はCross Site Request Forgeries の略です。"forgery" は偽造の意味で、サイトをまたがって捏造された攻撃リクエストを送信する、という程度の意味になります。 ※ちなみに、CSRF は﹁シーサーフ﹂と発音するのだという説もありますが、少なくとも日本では﹁しーえすあーるえふ﹂と呼ぶ方が主流のようです。たとえば、blogなどは Web 上の管理画面で記事の削除ができるようになっています。削除を実行するには、削除を行うような HTTP のリクエストをサーバに送れば良いのですが、この画面は Cookie なり、Basic 認証なりでアクセス制御がされています。そのため、正規のユーザ以外が削除のリクエストを送っても何も起きません。ログイン済みの正規のユーザが﹁削除﹂のリクエス
Itisango 2008/08/06
web

security

csrf
リンク
1