RailsのCSRF保護を詳しく調べてみた（翻訳）｜TechRacho by BPS株式会社
Proper way to send an Authenticity Token with AJAX to Rails
This works but gets stopped because it lacks an authenticity token: $(".ajax-referral").click(function(){ $.ajax({type: "POST", url: $(this).parent("form").attr("action"), dataType: "script"}); return false; }); So I tried adding it like so: $(".ajax-referral").click(function(){ $.ajax({type: "POST", url: $(this).parent("form").attr("action") + "?&authenticity_token=" + AUTH_TOKEN, dataType: "scri
How can I make Sinatra use CSRF Authenticity tokens?
I'm building a simple app in ruby using the Sinatra framework. It's mainly "get" based - most requests will be for listing data. However there are a couple of key screens in the app that will collect user input. I want to ensure the app is as safe as I can make it, and currently, trying to find how to implement the kind of authenticity tokens that you get in a Rails form? Where I've got to: Well,
IPA ウェブ健康診断仕様を使ったWebアプリ脆弱性検査(CSRF編)
Software WebSecurity IPA ウェブ健康診断仕様を使ったWebアプリ脆弱性検査(CSRF編)※当サイトにはプロモーションが含まれています。 診断内容ウェブ健康診断仕様.pdf より抜粋 診断する環境クライアントOS：OS Xブラウザ：Firefox (OWASP ZAPに対するプロキシ設定は済んでいるものとします)HTTP通信を記録するツール：OWASP ZAP診断対象となるWebアプリケーション：VirtualBoxで導入した OWASP BWA上のDVWA(Damn Vulnerable Web Application)OWASP BWAのIPアドレス：192.168.0.50※ OWASP BWA、DVWA(Damn Vulnerable Web Application) については、こちらの記事 OWASP BWA (The Broken Web Applica
rack-protection とは - Qiita
rack-protection とは，Sinatra 関連のコンポーネント (sinatra-contrib など) を多数作ってる rkh 氏のプロダクトの一つで，Rack に組み込むだけでいくつかの脆弱性に対する防御をしてくれる Rack middleware です。 いかがかなと思うコンポーネントもありますが，基本的にそういうのはデフォルトで無効化されてますし，FrameOptions や XSSHeader のように「とりあえず入れといても副作用ないし実効性がある」コンポーネントも多いので，とりあえずいれとくというスタンスでもよいのではないでしょうか。 使い方 ざっくりと省略。 とりあえず説明ページにあるように，config.ru に書く場合， な感じで使うことになります。この Rack::Protection を use すると，バンドルされているコンポーネント (middlew
開発者のための正しいCSRF対策
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WARN - attack prevented by Rack::Protection::AuthenticityToken · Issue #1251 · padrino/padrino-framework
超絶技巧CSRF / Shibuya.XSS techtalk #7
If I add multiple forms in a single page, do I need to add separate Anti-Forgery Tokens in each form?