「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

目次 †

↑

概要 †

ASP.NETでのCSRF(XSRF)対策のサニタイジング方針について纏める。

↑

XSRF（CSRF）とは？ †

XSRF（CSRF）は、あるサイトを操作している時に、
（従って、ログインも、セッションも存在している状態で）
操作者が攻撃者のリンクを踏むと、意図せぬ操作を実行されてしまう。

そういう類の攻撃で方法です（「ぼくはまちちゃん！」が有名）。

↑

対応方針の材料 †

↑

ASP.NET Web Forms †

↑

POST †

ViewState の ViewStateUserKey? にセッション ID を割り当てる方法がメジャー。

↑

GET †

GETでは攻撃しやすいのでQueryString?で予期せぬCRUD等の操作がされないように作る。

↑

ASP.NET MVC †

↑

POST †

ValidateAntiForgeryToken?属性とHtml.AntiForgeryToken?ヘルパを使う。

↑

GET †

GETでは攻撃しやすいのでQueryString?で予期せぬCRUD等の操作がされないように作る。

↑

対応方針の案 †

案件依存だが・・・。

↑

ASP.NET Web Forms †

上記から選択。

↑

ASP.NET MVC †

上記から選択。

↑

判断材料 †

案件毎にCSRF(XSRF)対策のポリシーを持って対応する必要がある。

↑

攻撃対象 †

一般的に、足がつかない、

が多いと考える。

↑

攻撃者 †

↑

攻撃方法 †

操作中にリンクを踏む必要があるので、

対象システム外に書き込みを行う場合、

GET要求を投げるための偽装テクニックがある。

↑

参考 †

Tags: :テスト

トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS