VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について - debiruはてなメモ
2015年12月に私が発見した VALUE-DOMAIN での CSRF 脆弱性について、その脆弱性の報告と修正までの経緯を記しておきます。 きっかけ アカウント削除ページの作り アカウント削除ページの問題点 VALUE-DOMAIN への報告 CSRF 攻撃によるアカウント乗っ取りの問題 IPA への届出 余談：IPA への届出の仕方について IPA へ届出した後の状況 VALUE-DOMAIN ユーザの方へ きっかけ 数年前に VALUE-DOMAIN を利用していましたが最近は使っていないのでアカウントを削除しようとしたところ、アカウント削除操作を行うページの作りが「不自然である」ことに気付きました。更に調べたところ CSRF 攻撃によってアカウント乗っ取りが可能な状況であることが分かりました。 アカウント乗っ取りが可能な CSRF 脆弱性は2015年12月22日にIPAに報告し、2
クロスサイトスクリプティング(XSS)ってたまに聞くけどいったい何のこと？ | hi-context
クロスサイトスクリプティング(XSS)とは？ クロスサイトスクリプティングとは、攻撃者がセキュリティ上穴のあるWebサイトへ、悪意のあるスクリプトを埋め込む攻撃です。 世間を騒がせた大きな事件としては、パソコン遠隔操作冤罪事件で横浜市のサイトに小学校襲撃予告の書き込みがされたことは、皆さまも記憶に新しいかと思います。 この時に行われた攻撃手法がXSSの一種であるクロスサイトリクエストフォージェリ(CSRF)というものです。 XSSは、悪意のあるスクリプトを埋め込む攻撃の総称であり様々な攻撃手法があります。 具体的にそれらがどのような、攻撃方法なのか解説して行きたいと思います。 セッションハイジャック 例えば、ショッピングサイトで買物をしたことがある方は想像しやすいと思います。 買物かごの情報を複数ページ間で持ち回り、内容が保持された状態になっている体験をされたことがあると思います。こ
徳丸 浩 on Twitter: "8年前の今日、2005年4月19日に有名な「ぼくはまちちゃん！ こんにちはこんにちは!!」がおきました。これを記念して毎年4月19日が『CSRFの日』と定められました（ソースは俺）。8年も経っているのですから知らないなど許されません。みなさま、CSRFについてよく勉強しましょう"
8年前の今日、2005年4月19日に有名な「ぼくはまちちゃん！ こんにちはこんにちは!!」がおきました。これを記念して毎年4月19日が『CSRFの日』と定められました（ソースは俺）。8年も経っているのですから知らないなど許されません。みなさま、CSRFについてよく勉強しましょう
高木浩光＠自宅の日記 - ハマチをちゃんとテリヤキにするのは難しい, CSRF脆弱性を突く攻撃行為を現行法で処罰できるか
■ CSRF脆弱性を突く攻撃行為を現行法で処罰できるか CSRF脆弱性が攻撃されることは、それがもたらす被害の内容によっては、不正アクセス禁止法が守ろうとしているものと同等のものが侵害される場合もある。たとえば、本人でなければ見ることのできないはずの情報が、CSRF脆弱性を突く罠を仕掛けた者に送信されるといった攻撃は、不正アクセス行為の典型的な侵害事例と同様の被害をもたらす。また、同法の目的である「アクセス制御機能により実現される電気通信に関する秩序の維持」（第1条）が損なわれるという点も共通する。 しかしながら、CSRF脆弱性を突く攻撃行為は、結果が同じてあっても手段が異なるために、不正アクセス禁止法による処罰は難しいのではないかと以前から思っていた。これについては、2005年7月3日の日記「クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか」にも書いた。
pixiv開発者ブログ:［不具合報告］意図しない作品へのコメントについて
2010年02月15日お知らせ pixiv事務局です。 このたび、一部ユーザー様の作品へのコメントが改ざんされたとの報告があり、弊社にて調査をいたしましたところ、「作品のコメント欄」の脆弱性を利用した不正が行われていた事実が判明いたしました。 本件の詳しい状況につきまして、下記の通りです。 ・経緯 2010年2月5日より2月14日までの間、一部ユーザー様の作品において、ユーザー様の意図によらないコメントが書き込まれた旨のお問い合わせを頂きました。 お問い合わせをいただいた後、該当する全てのサーバのログ・関連データベースを調査しましたところ、問題となったコメントの書き込みの前に、あるURLへアクセスし、外部サイトを経由をした後にコメントを投稿した形跡を発見しました。 また、本不具合を利用したアクセスを調査しましたところ、影響があったのは作品へのコメントの書き込みのみで、他の機能へ
ログイン機能へのCSRFによるセッション固定 - 知らないけどきっとそう。
危険なのかよくわかんないですけど、はてダ初め書きます http://ido.nu/ayaya/yj.html（対策されてた！） iframe 内で http://login.yahoo.co.jp/config/login に logout=1 を POST して強制的にログアウト状態にする ログインフォームの form タグ部分をスクレイピングし、あらかじめ用意しておいた Yahoo! JAPAN ID とパスワードを埋め込む その HTML を iframe にロードし、submit() で POST させることにより、用意しておいたアカウントでログインさせる メールで「住所情報を更新しないとアカウントが消えます」とか書いて誘導したら、どのくらい釣れるかなあ あーあと、個人情報の入力だけじゃなくて、OAuth の認可とか権限を与える操作もまずい ページは SSL になっていて、アドレス
CSRF対策は基本? | 水無月ばけらのえび日記
コミュニティーサイト構築に詳しい専門家は、「CSRF対策は基本的なところ。Amebaなうが対策していなかったのは意外だ」と話している。 「CSRF対策は基本的なところ」と言われると、発見も対処も容易であるような印象を受けますが、これは少し違和感がありますね。 半年ほど前の話ですが、弊社 (www.b-architects.com)のクライアントが新規のECサイトを立ち上げるにあたって脆弱性診断をしようという話になり、外部の会社に見積もり依頼をしたことがあります。その際、業界では知らない人がいないような大手会社の診断メニューも見せていただきました。 そこで印象的だったのは、標準とされるプランにCSRFの診断が含まれていなかったことです。標準のコースにはXSSやSQLインジェクションの診断が含まれますが、CSRFは「アドバンスド」プランの方にしか含まれていませんでした。普通のサイトではXSSや
ultraistのブックマーク / 2008年5月19日 - はてなブックマーク
元の話は高度同士の比較の話だと思ったけど。評価の方向も次元数も違うものを比較するのは難しいから、勝負したい人はGoogle code jamとかでやればいいと思う。 programmer
CSRF対策を行いました - はてなハイク日記
先ほど、はてなハイクでの投稿時に、CSRF対策を追加しました。 この対策が行われていなかったことで、特定のURLをクリックするとあらかじめ第三者が用意した内容が自動的に投稿されてしまう問題がありました。 ご指摘を頂いたユーザー様、有難うございました。
クイズ:XSSとCSRFはどこにありますか? - ockeghem's blog
先の日記(XSSはブラウザ上でスクリプトが動き、CSRFはサーバー上でスクリプトが動く - ockeghem(徳丸浩)の日記)は、仕込んだネタがあたって多くの方に読んでいただいた。細かい内容については、頂戴した批判や反省もあるが、このテーマに対して多くの関心を集めることができたのは良かったと思う。今回も、手を変え品を変えて、XSSとCSRFの違いを説明しよう。ということで、今回はクイズ仕立てにしてみた。 といっても、非常に簡単なクイズだ。 認証を必要とする会員制サイトmaitter.comで、個人情報を入力する画面がある。典型的な、入力(A)-確認(B)-登録(C)という画面遷移（下図）を想定した場合、 XSSが発生しやすい画面を一つあげよ CSRFが発生しやすい画面を一つあげよ というものだ(入力画面は初期入力のみ想定)。エラー時の挙動などは指定されていないので想定しないものとする。 解
っつか - たぬきん貧乏日記 〜No Worry, No Hurry. Eat Curry!〜
日本語にすりゃいいんだよな。 やってみるか・・・ XSS → クロスサイトスクリプティング → 「サイト横断型スクリプト挿入攻撃」 わかりづらい？ CSRF → クロスサイトリクエストフォージェリ → 「サイト横断型リクエスト偽造攻撃」 どうだ？ んー。よくわからんかなあ。もっといい日本語化案があれば。 あとよく勘違いされるんだけど，XSS で Cookie 抜かれてセッションハイジャックってのばっかり言われてるけど，偽画面作れるってのがそもそもの脅威だからね。スクリプティング，っていうより，画面の限定期間一部改ざんっていうかそんな感じだと思いねぇ。なので，セッション抜かなくてもログイン画面をナニしてフォームのポスト先を変えちゃえばアカウント情報いただきーヒャホーとか，URL 短縮サービスとか経由してナニしてドメイン名とか SSL サーバ証明書とか真っ当なまんまで画面書き換えてヒャッホーと
XSSとCSRFの違い早わかり - たぬきん貧乏日記 〜No Worry, No Hurry. Eat Curry!〜
http://d.hatena.ne.jp/ockeghem/20071203 あー・・・・・ええと。うん。それ違うから。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く その表現は非常にまずい。まず「攻撃スクリプト」が混同されている。 少なくともサーバ上で「攻撃スクリプト」が動作するのはもう CSRF ではない。CSRF の場合，脆弱ではあっても悪意はない本来のスクリプトが記述された通りの「正常な」動作をしているにすぎないからだ。 第二に，CSRF でも悪意のスクリプトがブラウザ上で動作するパターンがある。というより記事内で例示されている CSRF ではブラウザ上で罠サイトに設置された攻撃スクリプトであるところの JavaScript が動作しているものだ。アプリケーションにポストする内容の話
クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記
昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。 どちらも「クロスサイト」という言葉が先頭につく なりすましのようなことが結果としてできる どちらも受動型攻撃である それに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く このため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS
CSRFに脆弱なルータはWHR-G54Sだけではないはず
(Last Updated On: 2018年8月14日)BaffaloのWHR-G54S http://buffalo.jp/products/catalog/item/w/whr-g54s/ にCSRF脆弱性とレポートされています。海外製品のレポートは見かけますが、日本製のSOHOルータのレポートは記憶にないです。よくある脆弱性なので日本製のレポートは初めてではないと思いますが、個人的には初物なので書きました。 WHR−G54SはCSRF対策がない（足りない?）ので認証状態にあればFirewall設定を変更できるようです。 SOHOルータはよくターゲットにされるので管理ページにログインしたら、ログオフしてブラウザを終了させた方が良いと思います。ログオフ機能が無くても普通はログオフするとセッション情報は消去されるはずです。ログオフ機能が付いていてもブラウザを終了させるのは、ログオフ機能の
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ITmediaのアンケートにCSRF脆弱性
Hiromitsu Takagi on Twitter: "http://t.co/qSCZ0PwX の図からすると、CSRF攻撃だったっぽい。CSRF攻撃が不正指令電磁的記録供用に当たるという話は、法案成立前から言われていたこと。"
Google Chrome 2.0 Browser Brings More Web Security
Does Google Chrome prevent CSRF?
CSRF Protector :: Add-ons for Firefox
はてなブログ | 無料ブログを作成しよう