ネット安全:横浜、大阪両市のホームページに弱点－ 毎日ｊｐ(毎日新聞)

インターネット上のホームページ（ＨＰ）などに犯罪予告が書き込まれた事件で、横浜、大阪両市のＨＰにセキュリティー上の弱点があったことが分かった。このうち横浜の事件では、不正な書き込みで以前から広く使われている攻撃手法が用いられており、犯行声明を出した「真犯人」が、横浜市のＨＰの弱点を見抜いた上で、簡単な手法で別人を犯人に仕立てあげたとみられる。両市は不正書き込み発覚後、セキュリティー対策を強化した。 両市のＨＰでは意見投稿欄に犯罪予告が書き込まれ、横浜のＨＰには今年６月、市内の小学校を襲撃するとの内容が書き込まれた。 書き込みは通常、ＨＰのトップページから意見投稿欄に進み、書き込む。しかし、犯行声明の中で、真犯人が横浜の事件で使ったと明かす攻撃手法「クロスサイト・リクエスト・フォージェリ（ＣＳＲＦ）」を使えば、投稿欄からでなくても他人になりすまして外部から書き込みを掲載することが可能になる。

[deloreanmc12]

CSRFの脆弱性を突かれたのか。xss対策は意識してたが、csrfはあんま意識してなかったな。管理下のサーバチェックしなくては。。。

[doroyamada]

CSRFで書き込みできたってことは掲示板に脆弱性があるということで、今さらこんなのが1面の記事になったってことは、CSRFを理解せずに適当に記事を書いているってことなんだろうね。