第23回 まだまだ残っているCSRF攻撃 ：なぜPHPアプリにセキュリティホールが多いのか?｜gihyo.jp … 技術評論社

CSRF（Cross Site Request Forgeries）は数年前にその危険性が広く認知された攻撃手法です。Webページを見ただけで、普段自分が利用しているログインが必要なサイトに意図しないリクエストが送信されたりする問題です。 CSRFの動作原理 CSRFは攻撃用の情報を含んだWebページやEメールを利用して攻撃します。被害者が攻撃用のページを表示したり、URLをクリックすると、攻撃対象のWebサイトに利用者が意図していないリクエストを送信します。 図1 CSRF攻撃 CSRFによる不正なリクエストは被害者からリクエストなので、ログインが必要なサイトであっても既にユーザがログイン済みの場合、正規のユーザからのリクエストとして攻撃対象のWebサーバはリクエストを受け付けてしまいます。 ログインが必要ない公開サイトであっても、問い合わせフォームから大量の不正な情報が登録される、など

[hasegawayosuke]

使い捨てIDは生成して使用せずに罠ページに回すことで、CSRF成功するんじゃ? // JSONハイジャックとCSRFを似てるとするのは無理がある

[hisasann]

CSRF

[sin_cos]

CSRF の説明。今更感がありますが。

[noopable]

while(1)をJOSNデータの最初の行に挿入する対策