CSRF（クロスサイト・リクエスト・フォージェリ）の例 - 失敗例 - 本書は以下の URL からダウンロードできます安全なウェブサイトの作り方

3. 失敗例

3.6 CSRF（クロスサイト・リクエスト・フォージェリ）の例

CSRF（クロスサイト・リクエスト・フォージェリ）の脆弱性を考慮できていない例として、登録情報編集画面のプログラムを紹介します。

■ PHPによる登録情報編集機能

【脆弱な実装】

下図は、会員制ウェブサイトにおける、ユーザの会員登録情報を変更する機能の、典型的な画面遷移の例です。ここでは、ユーザが住所を東京都から大阪府に変更するときの操作を例にしています。

このサイトの構成では、まず画面 1（view.php）で登録情報を確認し、編集の必要があれば編集ボタンを押して画面 2（edit.php）へ進み、画面 2 で必要な情報を入力して、さらにパスワードを入力した上で、画面 3（confirm.php）へ進むようになっています。画面 3 で入力した情報を確認し、実行ボタンを押して画面 4（commit.php）に進むと、ここで登録情報の更新処理が実行されて、その旨が表示されます。

画面 2 で、本人確認のためにパスワードを入力するようになっており、パスワードが正しい場合にしか画面 3 に進めないようになっています。

ここで、画面 3 を構成する HTML が次のようになっているとします。

http://○○/view.php

編集名前

登録情報

脆弱太郎住所東京都

http://○○/edit.php

確認名前

登録情報の編集

脆弱太郎住所

http://○○/conf irm.php

名前

登録情報の編集確認

脆弱太郎住所大阪府

http://○○/commit.php

戻る名前

登録情報の編集完了

脆弱太郎住所大阪府

パスワードを入力してください

**********

大阪府 ▼

戻る

実行戻る

画面1 画面2

画面3 ＜確認ページ＞画面4 ＜更新ページ＞

3.6 失敗例（CSRF）

HTML

PHP

HTML 画面 3 でユーザが実行ボタンを押したときに、遷移先である画面 4 のcommit.phpの次のコードが登録情報の更新処理を実行します。$_SESSION['authenticated']は、ユーザがログイン済みかどうかの情報を、真偽値で保持しています。

この実装は、2 行目でユーザがログイン済みかどうかを確認していますが、そのリクエストのパラメータがユーザの意図した操作によるものであるかを判別する機能を持っていないため、CSRF 攻撃に対して脆弱です。

【解説】

ユーザがこのサイトにログインしたままとなっているタイミングで、罠サイトに誘導されると、画面 4 にリダイレクトされることによって、ユーザの意図に反した登録情報の変更処理を実行させられてしまいます。

仕掛けの一例として、罠サイトに次のような HTML が含まれる場合があります。これは、画面 3 を構成する HTML に似たものですが、赤字部分が異なっています。罠サイトを開くだけで、CSRF 攻撃が実行されます。

戻る名前

登録情報の編集完了

いぱくん住所東京都罠サイト

http://▲▲/ http://○○/commit.php

画面4 ＜更新ページ＞

</form>

session_start();

if( ! $_SESSION['authenticated'] ) { exit(); }

update_userinfo($_SESSION['uid'],$_POST['new_name'], $_POST['new_address']);

</form>

3.6 失敗例（CSRF）

HTML

PHP 例題コードの commit.php は、上記のような罠サイトによって引き起こされたリクエストと、ユーザの意図した操作によるリクエストを判別できず、登録情報を更新してしまいます。

ログイン済みのユーザが設定変更や書き込みを行う機能を実装する際は、CSRF 攻撃の存在を意識して、対策を検討してください。

【修正例 1】

秘密情報の埋め込みと更新ページにおける確認

確認ページに秘密情報を埋め込んだ上で、更新ページで確認することで、CSRF の脆弱性に対する根本的解決となります。

例題コードにおいては、画面 3 が確認ページに相当し、画面 4 が更新ページに相当します。この修正例では、秘密情報として PHP のセッション ID を使用します。

まず、画面 3 にセッション ID を埋め込みます（赤字部分が該当箇所）。

次に、画面 4 のcommit.php が秘密情報を確認します。秘密情報の確認タイミングは、登録情報を更新する前です。もし秘密情報が正しくない場合、処理を中止します。修正した commit.php は、次のものになります（赤字部分を追加）。

この修正には、第三者に予測されない秘密情報を生成・保持する事と、秘密情報を更新ページに伝達する際に POST メソッドを使用する事が必要です。これらの条件を満たせない場合、別の方法で修正します。

【修正例 2】

更新ページにおけるパスワードの確認

更新ページの直前でパスワードの入力を求め、更新ページでパスワードを確認することで、CSRF の脆弱性に対する根本的解決となります。

例題コードでは、画面 2 で入力されたパスワードを画面 3 で確認していました。これを、画面 3 でパスワードを入力させて画面 4 でそれを確認する方式に変更することで、CSRF の脆弱性を解消できます。

</form>

session_start();

if( ! $_SESSION['authenticated'] ) { exit(); } if( $_POST['sid'] != session_id() ) { exit(); }

update_userinfo($_SESSION['uid'],$_POST['new_name'], $_POST['new_address']);

3.6 失敗例（CSRF）

PHP この修正には、ユーザインターフェースの変更を許容する必要があります。それが難しい場合、別の方法で修正します。

【修正例 3】

更新ページにおける Referer の確認

更新ページで Referer を確認することで、CSRF の脆弱性に対する根本的解決となります。この修正例では、例題コードのcommit.phpを次のように修正します（赤字部分を追加しています）。

この修正の副作用として、ブラウザが Referer を送出しない設定になっている場合や、ブラウザから送出される Referer をプロキシサーバで削除している環境からの利用では、この変更処理が実行できなくなってしまいます。

編集名前

登録情報

脆弱太郎住所東京都

確認名前

登録情報の編集

脆弱太郎住所

名前

登録情報の編集確認

脆弱太郎住所大阪府

戻る名前

登録情報の編集完了

脆弱太郎住所大阪府

大阪府 ▼

実行

パスワードを入力してください

**********

画面1 画面2

http://○○/view.php http://○○/edit.php

http://○○/conf irm.php http://○○/commit.php

画面3 ＜確認ページ＞画面4 ＜更新ページ＞

session_start();

if( ! _SESSION['authenticated'] ) { exit(); }

if( $_SERVER['HTTP_REFERER'] != 'http://○○/confirm.php' ) { exit(); } update_userinfo($_SESSION['uid'],$_POST['new_name'], $_POST['new_address']);

3.7 失敗例（HTTP ヘッダ・インジェクション）

Perl

HTTPレスポンス

ドキュメント内本書は以下の URL からダウンロードできます安全なウェブサイトの作り方 (ページ 97-101)