CSRFの脆弱性があるのでは？というサイトを見つけたのですが、それが脆弱性なのか教えて下さい

Question

こんにちは、PHPの学習中のものです。

CSRFの脆弱性があるのでは？というサイトを見つけたのですが、それが脆弱性なのかわかりません

クロスサイトリクエストフォージェリの脆弱性があるのでは？というサイトを見つけたのですが、それが脆弱性なのかわかりません。
私が見つけたものがクロスサイトリクエストフォージェリの脆弱性なのかを教えて下さい。

もし、それが脆弱性なのであればそのサイトに報告します。絶対に悪用しません。

1. 偽ログインフォームをつくる
2. form タグの action は本物のサイトにする。
3. １と2で作ったフォームを別のphpファイルのiframeタグで読み込む
4. 受け取ったIDとパスワードを使い<input type="hidden" id="oo">で自動でログインできてしまう

上のページをローカル環境で作成したところ、本当のサイトにログインができました。
これは脆弱性ですか？

WordPressで試したところ、ログインができなかったことと、
また、偽ログインフォームと本当のサイトの間にIDとパスワードを盗むページを作ることができるので危険だと思いました。

なので、僕が見つけたサイトには脆弱性があると考えました。

クロスサイトリクエストフォージェリの脆弱性のあるサイトかどうかを教えて下さい。

Comments

[Zuishin]

ここで聞かず、そのサイトの管理者に
「脆弱性じゃないですか？」と聞くのが一番穏便だと思います。あとはそちらのセキュリティー担当が調べてどうにかするでしょう。

[Tera_]

ありがとうございます。サイトの管理者に報告しておきます

Answer 1

脆弱性ではないと思います。少なくともCSRFではありません。

偽ログインフォームと本当のサイトの間にIDとパスワードを盗むページを作ることができるので危険だと思いました。

偽ログインフォームにIDとパスワードを入力したのであれば、それはフィッシングです。元のサイト要らないです。本来のサイトは対処しようがないです。なので脆弱性ではありません。
本来のサイトでログイン状態になることで、ばれにくくなるという面が多少ありますが、ログインエラーを表示して、本来のログインサイトに誘導することもできるので、あまり関係ないと思います。

WordPressで試したところ、ログインができなかった

WordPressに限らずログインフォームにトークンを指定してこの種の「攻撃」を防いでいるサイト・ソフトウェアはありますが、どのような脅威を想定してのものなのかは、その方々に質問したいくらいですね。

Comments

[Tera_]

申し訳ございません。記入漏れがありました。
受け取ったIDとパスワードを使い<input type="hidden" id="oo">で自動でログインできてしまう
これはしょうがないことですか？

[ockeghem]

IDとパスワードが分かればどんなサイトでも大抵ログインできてしまいますので、それは問題ではありません。IDとパスワードが利用者関与なしに漏れるとか、パスワードがわからないのにログインできてましうようなケースは脆弱性です。

[Tera_]

わかりました
ありがとうございました

[Zuishin]

例えば、特定のユーザー(例えば管理者)と、そのパスワードの可能性のある無数のデータを作成し、クリックした人がそのユーザーとしてログインするかもしれない URL をバラまいたとします。あわせて、そのサイトのそのユーザーしか使えない API の URL を同じところにバラまきます。

すると不特定多数の人がまずログインを試み、次に API の使用を試みるという仕組みが出来上がりますが、これは脆弱性とは言えないということでしょうか？

[Zuishin]

例えば仮にアダルト画像サイトで行うと、画像を順番にダウンロードすることが考えられます。10 の画像に 10 のパスワードを仕込み、11 番目の画像に API の URL を仕込むことで、11 個の画像のダウンロードが攻撃にはなりませんか？

[Tera_]

悪意のあるサイトでIDとパスワードを入力した時点でアウトなので、
でログインできることはしょうがないということですか

[ockeghem]

Tera_ さん、そのとおりです

[ockeghem]

Zuishinさん、ログイン状態まではもって行ける可能性がありますが、罠のサイトから対象サイトにAPIのリクエストを投げても、その応答はCORSにより受け取れません。更新処理のPOSTを投げることはできますが、それが成功したら、その更新処理の箇所にCSRF脆弱性があることになります。

[Zuishin]

CORS が正しく設定されている場合には脆弱性となり得ないということですね。

「ログインユーザーしか使えない API だから * で大丈夫」と思ってしまった場合には別の脆弱性になると。

素人考えでは、ログインで守られていれば大丈夫という考えは甘い時代になった、なら CORS にもいつかそれ一枚に頼っていたのでは甘いと言われる日が来るのではないか、と思ってしまいますが、今はまだ大丈夫と理解しました。

お時間とらせました。ありがとうございました。