csrf？ サーバ(親サイト)から、別サーバ(子サイト)へ、formで値を送る場合

Question

表題の通りですが、親サイトの値を、子サイトにform method＝postで送りたいです。

簡易的にできるセキュリティチェックがあれば教えていただきたいです。

何卒よろしくお願い致します。

追記

• サーバーサイドの言語はJava8です。
• postで送るときに、セキュリティ対策となる実装方法で、参考になりそうなものがあればおしえていただきたいです( ;∀;)

Comments

[annko]

ちなみに、サーバーサイドの言語はJava8です。

[annko]

さらに追記。
postで送るときに、セキュリティ対策となる実装方法で、参考になりそうなものがあればおしえていただきたいです( ;∀;)

[退会済みユーザー]

Cross Site Request （サーバー間）の処理を禁止させるための処理なので
そのURLをCSRFの対象にしなければいいだけです。

代わりにJWS 等を使うのも手になります。

Answer 1

あくまで簡易的な検査ですが、以下のようにするとよいでしょう。

1. 親サイトのフォームから、HTMLを取り出してエディタで編集する。以下はイメージ

<form action="https://sub.example.jp" method="POST">
<input type="hidden" name="hoge" value="fuga">
...
<input type="hidden" name="token" value="pXn4nsqQ7t6fFHkTHXGUWtR83U">
<input type="submit>
</form>

1. フォームの中に乱数文字列があれば、その中身を削除する（上記の場合はtoken）
2. 上記フォームをローカルファイルに保存する
3. ローカルファイルに置いたフォームを実行する
4. 子サイト側で処理が実行されれば脆弱性です

検査の意味がわからなければ、IPAの安全なウェブサイトの作り方か、拙著にはなりますが「体系的に学ぶ 安全なWebアプリケーションの作り方」で勉強してください。

なお、冒頭に書いたように、これはあくまで超簡易的な検査ですので、これがOKだとしても、サイトが安全であることは意味しません。

Comments

[annko]

ありがとうございます！
amazonでぽちらせていただきました