Hatena Blog Tags
はてなブログ トップ
CSRF
このタグでブログを書く
言葉の解説
ネットで話題
関連ブログ

CSRF

(コンピュータ)
【しーさーふ】

Cross-Site Request Forgeriesの略。Webアプリケーションの「投稿」や「削除」、「購入」、「退会」「メッセージ送信」など、永続的な影響を与えるコマンドを実行する URL へ誘導し、意図しないコマンドを実行させる攻撃。
詳細は参考URLの各サイトへ。

参考URL

関連キーワード

  • XSS脆弱性
このタグの解説についてこの解説文は、すでに終了したサービス「はてなキーワード」内で有志のユーザーが作成・編集した内容に基づいています。その正確性や網羅性をはてなが保証するものではありません。問題のある記述を発見した場合には、お問い合わせフォームよりご連絡ください。
The light of hope to the other side of the tunnel - Kotsu Kotsu To -•13日前

「My methodology to bypass CSRF token with 5 Methods」からCSRF tokenのbypassを学ぶ

ソース： medium.com 脆弱性：CSRF 訳： クロスサイト リクエスト フォージェリ (CSRF) とは何ですか? クロスサイト リクエスト フォージェリは、基本的に Web ブラウザをだまして、ユーザーがすでにログインしている脆弱なアプリケーションで望ましくないアクションを実行させる Web アプリケーションの脆弱性攻撃ベクトルで。CSRF 攻撃が適切に成功すると、ユーザーと組織の両方に悲惨な結果をもたらす可能性があり。 CSRF 攻撃は、電子メールの変更、パスワードのリセット、プロファイルの更新、アカウントの乗っ取りを引き起こす可能性があります。 CSRF は実際にどのように機能…

#CSRF

ネットで話題

もっと見る
1022ブックマーク開発者のための正しいCSRF対策著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきこと...www.jumperz.net
544ブックマーク超絶技巧CSRF / Shibuya.XSS techtalk #7speakerdeck.com
530ブックマークCSRFで強制ログインさせるというアイデア - ぼくはまちちゃん！blog.hamachiya.jp
461ブックマークCSRFによる冤罪、誤認逮捕か。大阪市ウェブに大量殺人予告での逮捕の件: ホットコーナーブログ(iiyu.asablo.jpの検索) ホットコーナー内の検索 でもASAHIネット(asahi-net.or.jp)全体の検索です。 検索したい言葉のあとに、空白で区切ってki4s-nkmrを入れるといいかも。 例　中村(show) ki4s-nkmr ウェブ全体の検索 ASAHIネット(http://asahi-net.jp )のjouwa/salonからホットコーナー(http://www.asahi-net....iiyu.asablo.jp
418ブックマーク高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由水色の四角は画面を表し、白抜き実線枠の四角はボタンを表す。 これを、Webアプリという実装手法を選択する場合に特化すると、図2のような遷移図が描ける。 実線矢印はブラウザが送信するHTTPのrequest（ヘッダおよび、POSTの場合はボディを含む）を表し、黄色の丸がサーバ側での1アクセスの処理を表し、点線がその処理...takagi-hiromitsu.jp
387ブックマークCSRF対策用トークンの値にセッションIDそのものを使ってもいい時代なんて、そもそも無かったgist.github.com
385ブックマークCSRF is (really) deadscotthelme.co.uk
374ブックマーク高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法■ クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 「クロスサイトリクエストフォージェリ」がにわかに注目を集めている。古く から存在したこの問題がなぜ今まであまり注目されてこなかったかについて考 えているところだが、引越しやら転勤やらでいまひとつ日記を書く時間がない。 しかし、 @ITの記事な...takagi-hiromitsu.jp
372ブックマーク@IT: 「ぼくはまちちゃん」 ――知られざるCSRF攻撃atmarkit.itmedia.co.jp

関連ブログ

buri.memo.show();•1年前

CSRF攻撃の具体例と、SameSite(Cookie) での対策

Web アプリケーションの脆弱性、特に有名なものに3つあるが CSRF だけはピンと来なかった。色々調べて理解できたので具体的な例でまとめてみる。 XSS SQL Injection CSRF CSRF の脆弱性 CSRF （Cross-Site Request Forgeries）脆弱性があると、利用しているサイトのユーザーに攻撃者が望む操作をさせることができる。 例えば、Aさんはあるショッピングサイトを利用しているとする。Aさんがパスワードを変更する場合はパスワード変更画面にアクセスしてそこで新しいパスワードを入力し変更ボタンを押す。 実際に行われることを細かく書くと以下のようになる。 A…

#CSRF#脆弱性
甘めな技術。•2年前

XSSとCSRFとSSRFを最近のCVEと共に理解する

はじめに セキュリティ・キャンプ2021のグループワークの活動で、リレー形式でブログを執筆していくことになりました。 前回のブログはこちらです。 今回のテーマはWebセキュリティ！ といっても私はWebに強くありません。書けることなんて限られています。なのでXSS、CSRF、SSRF辺りをCVEと共に見ていけたらなと思います。基礎的な攻撃手法なので知っている方も多いと思いますが、最近のCVEを選択したので少しは新たな学びがあるといいなと。 変なところがあったら言ってください。 XSS XSS（クロスサイトスクリプティング）は動的に生成されるWebページにおいて、悪意のあるスクリプトが入り込んで…

#セキュリティ#脆弱性#XSS#CSRF#SSRF
shyu61 techBlog•3年前

CORSをちゃんと理解する

今回はCORSについてまとめたいと思います。私はよくサーバー側の設定を忘れて、ブラウザに怒られたりしてますが、今ひとつ理解できず、コピペして終わってました。Railsのapiモードでアプリを作る時とかも、よくわからずgem rack-corsとか書いてました。最近、FetchAPIについて学ぶ機会があって、ブラウザからのhttp通信についてちゃんと調べようと思ったのがきっかけでCORSについてもまとめてみました。 corsとは？ CORS（Cross-Origin Resource Sharing）は異なるオリジン間での通信を許可する仕組み。CSRFなどのセキュリティ面から、XMLHttpRe…

#CORSエラー#JavaScript#http request#ブラウザ#CSRF
Diary•2日前

CORS について整理しておく

最近は N 年間放置していた徳丸本を真面目に読み進めており、今回はその §3.3 CORS についてのアウトプットになります。 CORS について CORS とは『オリジン間リソース共有 (Cross-Origin Resource Sharing) 』の略で、異なるオリジン間でリソースを安全に使用するためにブラウザのサンドボックスに用意された制限の1つです。 CORS に対する理解を自分なりの図にまとめておきます。 （※ の部分について軽く説明します。） flowchart TD A{js が動作するオリジンと\n情報取得するオリジンが同一か ※1} --> |No| B{単純リクエストか …

ソニックの部屋•3日前

REST APIの基礎

気になった用語をまとめた Webサービスの基本 WebAPIとは、HTTPなどのインターネット関連技術を利用してプログラムが読み書きしやすい形でメッセージ送受信を行えるよう定義した規約、または規約を実装して展開されるサービスのこと リクエストの中でCRUDに相当するメソッド（POST、GET、PUT、DELETE）が重要 メソッド 意味 GET リソースの取得 POST リソースの新規登録(データ作成時にリソース名が決まっていない、決まっていればPUTになる) PUT リソースの更新 DELETE リソースの削除 冪等(べきとう)とは何度実行しても同じ状態が再現されること データ登録（POST…

スタディルーム by rolerole•6日前

情報処理安全確保支援士 出題予想（令和5年秋）（最新）

本記事では令和5年春向けの情報処理安全確保支援士の 出題予想を行っています。 ※予想は筆者の独断です。読者の責任でご活用ください。 勉強をそれなりにしてきた人であれば、 「どの範囲が出やすいんだろう？」と気になっていたり、 これまであまりうまく勉強時間が確保できていない人は、 「残りの時間、何に対策すればいいんだろう？」と思っていたりしませんか。 本記事では、次回情報処理安全確保支援士を受験される方向けに、 出題にはどのような傾向があるんだろう？ 次回にはどのような問題が出題される可能性があるのかな？ で、それらを午前問題、午後問題について知りたい！ といった疑問・要望にお答えしたいと思います…

作業日誌 う靴•8日前

Laravel + Guzzel でフォームから画像をアップロードしてPythonの画像処理APIを叩く

1. はじめに 下記の記事の応用として、フォームから画像をアップロードできるようにし、 Pythonの画像処理APIを叩く記事です。 uuktuv.hateblo.jp 2. コントローラーの作成 下記コマンドでコントローラーを新規作成します。 php artisan make:controller UploadController コントローラーの中身は下記のコードにします。 <?php namespace App\Http\Controllers; use Illuminate\Http\Request; use GuzzleHttp\Client; class UploadControl…

学生向けプログラミング入門 | 無料•9日前

Ruby on Rails | Google Fonts

↓↓クリックして頂けると励みになります。ランキング参加中プログラミング Ruby on RailsアプリケーションでGoogle Fontsを使用するためには、以下のステップを実行することができます。 Google Fontsはウェブフォントを提供し、アプリケーションに美しいフォントを追加するのに役立ちます。 サイト fonts.google.com 上記のサイトで選んだフォントをサイトに適用することができます。 まずは「Kosugi Maru」というフォントを適用してみます。 https://fonts.google.com/specimen/Kosugi+Maru?subset=japan…

学生向けプログラミング入門 | 無料•9日前

Ruby on Rails | noty

↓↓クリックして頂けると励みになります。ランキング参加中プログラミング Ruby on Railsの"Noty"は、通知メッセージを簡単に表示するためのJavaScriptライブラリです。 Notyは、ウェブアプリケーションやウェブサイトで、ユーザーにメッセージや通知を表示するための美しくカスタマイズ可能なポップアップ通知を生成するのに役立ちます。 試しているRailsのバーションは6です。 notyのデザインについては以下を参照して下さい。 ned.im notyはyarnを使ってインストールします。 コマンド yarn add noty 「app\javascript\packs\appl…

Yuki's Tech Blog•11日前

Same-origin policyとCORSについてざっくりまとめる

目次 目次 概要 Web開発における「リソース」とは オリジンとは オリジンへのネットワークアクセスについて Same-origin policyとは 別オリジンのリソースへのアクセスだけどSame-origin policyの制約がないものについて CORSとは CORSを利用する際のざっくりとした手順 別オリジンにHTTPリクエストをする際の2つのリクエストについて シンプルリクエストとは プリフライトリクエストとは Same-origin policyやCORSが存在する理由 補足) CSRFとは ここまでのSame-origin policyとCORSについてのまとめ Same-ori…

DreamerDreamのブログ•11日前

猫の体重管理のためにスマートトイレを自作してみた　④計量データをサーバーへ送る

前回はロードセルで重量データを取得することができました。 dreamerdream.hateblo.jp 今回はそれをサーバーへ送るわけですが、ロードセルの値は温度変化などで微妙に変わることがあるため常に一定とは限りません。 ドリフトと言って、電源を入れた直後からロードセル自体が熱を持ち、徐々に値が変化する現象もあるようです。トイレ掃除など重量変化の要因はたくさんあります。 「いつ猫が乗ってくるかわからないけどタイミング良く0gに補正して、猫が乗って2000gになって、降りたら10gになったから「猫の体重2000gで排泄10gとする」と計算して結果を送信する。」 なんてコードをコンパイルして書…

U-Yuri’s 備忘録•13日前

②Railsアプリをデプロイするまで【nginx】【puma】

nginxのwelcomeメッセージが表示される（自分の作成したアプリではない） $ sudo vim /etc/nginx/nginx.conf 内の設定を変更(include /etc/nginx/sites-enabled/*;をコメントアウトに) include /etc/nginx/conf.d/*.conf; # include /etc/nginx/sites-enabled/*; server { listen 0.0.0.0:80; server_name ik1-343-31774.vs.sakura.ne.jp; location / { proxy_pass http:…

fluid_27’s blog•15日前

Laravel JetStream、Laravel Sunctom

Laravel JetStreamとは ※スカフォールド・・・ Laravel Sunctomとは ※Authorizationヘッダ・・・ ※OAuth・・・ Laravel JetStreamとは Laravel JetStreamは、Laravelのためのに美しくデザインされたアプリケーションのスカフォールドです。ログイン、ユーザー登録、メール確認、２要素認証、セッション管理、Laravel Sanctumを使ったAPI、オプションとしてチーム管理を含んだ、次のLaravelアプリケーションの完璧なスタートポイントを提供します。JetstreamはTailwind CSSを使用しデザイン…

ketyiaの学んだこと議事録•17日前

CNDの勉強3 ~アプリケーションレベルの攻撃~

こんばんわ！本日もCNDの勉強をしていきます！お付き合いいただけると嬉しいです♪前回は、ネットワークレベルでの攻撃についてまとめました。興味ある方は下記を読んでみてください～ learnketyia.hatenablog.jp 今回は第３回「アプリケーションレベルの攻撃」についてまとめていきます！ アプリケーション攻撃用語 SQLインジェクション 一連の悪意のあるSQLクエリを使用してデータベースを直接操作する攻撃 XSS攻撃 （クロスサイトスクリプト） 攻撃者が、他ユーザが閲覧するサイトにスクリプトを注入できるようにする攻撃 ディレクトリートラバーサル攻撃 ソースコードや設定ファイルのような…

BNBのプログラミング勉強記録•18日前

Laravel俺用逆引きリファレンス

前提 コマンドライン アプリ作る sail立ち上げ sail 〇〇 が使えるようにする breez(全部のっけ的なスターターキット) 日本語化 モデル作成(マイグレーション付き) マイグレートする マイグレートしたやつを戻す マイグレーションファイル追加(カラム追加) コントローラー作成(resource付き) コンポーネント作成 tinker 起動 モデル全件取得 モデル1件取得 モデルに何のカラムが入ってるか見る モデル belongsTo hasMany submitで受け付けるパラメーターを設定 コントローラー ビューを指定 インスタンスを作る インスタンスに代入 インスタンスに代入(…

学生向けプログラミング入門 | 無料•19日前

Django3.2 | クラウドソーシングアプリの構築 | 58 | PWA

↓↓クリックして頂けると励みになります。ランキング参加中プログラミング 【57 | 配達依頼を受けた時の連動】 ホーム】 >> 【59 | Heroku デプロイ】 PWA（Progressive Web App）は、ウェブアプリケーションの一種であり、モバイルデバイスやデスクトップコンピューターで動作するための新しいアプローチです。 PWAは、モバイルアプリケーションのような機能をウェブアプリケーションに取り入れることができます。 何でもいいので、「logo.png」ファイルを「core/static/img」フォルダに入れておいてください。 「core/static」フォルダに「manif…

アーシの毎日インプット•19日前

情報処理安全確保支援士試験略語ノック21

情報処理安全確保支援士の試験合格を目指し、毎週略語に重点を置いて取り上げます。 それでは、学習スタートです！ ■SSP(Stack Smashing Protection)スタック領域に「カナリア」もしくは「guard」と呼ばれる値を埋め込むことでBOF攻撃を検知する技術。コンパイラによって生成される中間言語にBOF検出のためのコードを生成する。「カナリア」という呼称は炭鉱などで危険なガスの検知にカナリアが使われていたことからきている。 ■XSS(Cross Site Scripting)WebアプリケーションやWebページを操作するJavaScriptなどの脆弱性を利用し、HTMLに悪質なス…