ぼくはまちちゃん!スマートフォン用の表示で見るぼくはまちちゃん!こんにちはこんにちは!!2012-05-22CSRFで強制ログインさせるというアイデアこんにちはこんにちは!!今日はCSRF脆弱性のちょっとした話です!このCSRFってなにかっていうと、サーバーへのリクエストを『誰かに勝手に送らせる』っていうセキュリティがらみの攻撃手法のひとつ。わかりやすい例だと、HTMLの画像タグを以下のようにしたページを誰かに教える。height="1">そうすると、そのページを「見た人」が何々SNSの足跡.phpにアクセスしたことになる。対策する側もまた、「既にログイン済みの人を守る」ような考えが強いんだよね。勝手に日記に投稿させないように対策する、みたいな。今回は、タイトルにあるように、CSRFで強制ログインさせてみるのはどうだろう?って考えてみたよ。誰かを勝手にダミーのアカウントにログインさせる。するとどうなるだろう...?実はログインのフォームって、だいたいのサイトでCSRF対策してないんだよね。する必要がないと思われているからかな。今は「どのサイトも誰かを違うアカウントでログインさせ放題」の状態。HatenaもFacebookもそう。twitterはトークンのようなものを一応つけてるけど、特にチェックしてないようだから、やはり可能。「違うアカウントで、ツイート」くらいは狙える。上の例だと、悪い人にとって、効率の悪いスパム程度にしか使い道がなさそうだよね。放置してるだけでコンテンツが少し増える的な。「違うアカウントで、秘密の写真をアップロード」になったらどうだろう。今の時代、だんだんとツールもストレージも、ネットの向こう側に置かれるようになって、みんながローカルのPCじゃなくて、Webサービスに依存するようになってきたよね。メールや、ストレージサービスとかは特に気をつけた方がいいかもしれない。利用者がサービスに依存して、アップロードするページやツールを立ち上げっぱなし。知らない間に違うアカウントでログインしていて、大事な写真やファイルが流出...といったことがあるかもしれない。あ、そうそう、ちなみにdropboxも強制ログインさせること可能だよ。ログインのフォームもCSRF対策したほうがいいよ。00:00CSRFで強制ログインさせるというアイデアTweet関連記事2016-01-25Googleスプレッドシートの変更履歴をGoogleスプレッドシートに書き出す。寒い日のPC作業にも最適なゲーミング手袋Googleスプレッドシートの変更履歴をGoogleスプレッドシートに書き出す。簡単ノベルゲーム作成にうとくオナホにゅーす特報。胃がもたれなくなります。お腹弱い人にもオススメ。スターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。