ITmedia エンタープライズ：大量の「はまちちゃん」を生み出したCSRFの脆弱性とは？

「mixi」上で、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手にアップされてしまうという現象が多発した。その原因はCSRFの脆弱性だ。 4月19日以降、ソーシャル・ネットワーキングサイトの「mixi」で、URLをクリックすると勝手に「ぼくはまちちゃん！」というタイトルで日記がアップされてしまうという現象が多発した。 サービスを提供しているイー・マーキュリーでは、この現象について一応の対処は取った模様だ。ただ、技術的な詳細については「ハッキングでもなく、サーバ攻撃やウイルスでもない。ID盗難などの被害は発生していない」という回答のみで、「それ以上はコメントできない」と述べるにとどまっている。 だがある意味、このコメントは正しい。「はまちちゃん」現象は、ウイルスなどの仕業ではないからだ。 正規ユーザーの操作で「意図しない」結果に URLをクリックすると勝手に日記が書き込まれ

[rin51]

こんにちはこんにちは！

[uk-ar]

中村氏によると、「CSRFの問題点は『機能を実行するためのHTTPリクエストが推測できてしまうこと』」。逆に言えば、攻撃者による推測が困難なパラメータをHTTPリクエストに含めることで解決できるという。 　たとえば、

[mnishino]

#メモ CSRFという脆弱性

[jun14ryo]

はまちゃん

[webmarksjp]

security

[saitoudaitoku]

「XSSでは入力値の未チェックやサニタイジング漏れといったアプリケーションの「不備」が狙われるのに対し、CSRFではアプリケーションが備える「機能」そのものが利用される」

[Cress]

ぼくはまちちゃん！こんにちはこんにちは！！

[walf443]

CSRF： クロスサイトリクエストフォージェリー

[ginpei]

CSRF はリファラチェックすりゃいーだろーとか思ってたが「吐かないブラウザもある」とか。うーむ。

[tsupo]

残念ながら、コミュニティの内外を問わず、不審なリンクはクリックしないことに尽きるようだ。

[horiyasu]

CSRF

[adramine]

ほう！

[DK4R]

mixi

[hisa145]

流行ってるの？見た事が無いんだが（´・。・｀）

[matsukura]

俺もひっかかった。

[Yuichirou]

はてなダイアリーにもCSRFがあった(d:id:hatenadiary:20040913#1095063960)のは驚き。

[wacky]

CSRFの実例。被害は大きかった・・・・らしい。

[vkgtaro]

「重要な処理を確定させる際に再認証を行う。」ワンタイムトークンより楽に実装できそげ。

[rhizome]

ﾓｴｽｗｗｗｗｗｗ

[umebara]

クロスサイトリクエストフォージェリ（Cross Site Request Forgeries：CSRF）