- 追加された行はこの色です。
- 削除された行はこの色です。
「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]]」は、「[[Open棟梁Project>https://github.com/OpenTouryoProject/]]」,「[[OSSコンソーシアム .NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。
-[[戻る>Webアプリケーション脆弱性対策]]
*目次 [#wd4a0d41]
#contents
*概要 [#ia074187]
[[ASP.NET]]でのCSRF(XSRF)対策方針について纏める。
*対応方針の材料 [#a119b84a]
**[[ASP.NET Web Forms]] [#iffca9fe]
***POST [#x5f84c6b]
[[ViewState>ASP.NET ViewState]] の ViewStateUserKey にセッション ID を割り当てる方法がメジャー。
***GET [#k5635c95]
GETでは攻撃しやすいのでQueryStringで予期せぬCRUD等の操作がされないように作る。
**[[ASP.NET MVC]] [#b06cdc95]
***POST [#ec6b7116]
ValidateAntiForgeryToken属性とHtml.AntiForgeryTokenヘルパを使う。
***GET [#q106a76d]
GETでは攻撃しやすいのでQueryStringで予期せぬCRUD等の操作がされないように作る。
**[[WebAPI]] [#k02fa149]
-主に、業務系SPAの裏のWebAPIは同様に対応が必要になる。
-Cookieに設定したX-CSRF-TOKENを、HTTPヘッダに設定する方式が一般的。
-ソレ以外のWebAPIは、client_id, client_secretの基本認証やbearer tokenを使用。
-参考
--ASP.NET Core で防ぐクロスサイト リクエスト フォージェリ (XSRF または CSRF) 攻撃 | Microsoft Docs~
https://docs.microsoft.com/ja-jp/aspnet/core/security/anti-request-forgery
*対応方針の案 [#n243165a]
案件依存だが・・・。
**[[ASP.NET Web Forms]] [#w10d9b44]
[[上記>#iffca9fe]]から選択。
**[[ASP.NET MVC]] [#h8202df2]
[[上記>#b06cdc95]]から選択。
**[[WebAPI]] [#lfe3f4c3]
[[上記>#k02fa149]]から選択。
**判断材料 [#db46d410]
案件毎にCSRF(XSRF)対策のポリシーを持って対応する必要がある。
-GETが通れば即、warningになるので診断ツールの誤検知が多い。
-CSRF(XSRF)になっても実際に問題は起きるかどうかはアプリの作りによる。
***攻撃対象 [#p4e64803]
一般的に、足がつかない、
-匿名アクセス可能なサイトか、
-フリーメールサービスのアドレスでサインアップ可能なサイト
が多いと考える。
***攻撃者 [#z2bcbf96]
-上記のような匿名アクセスが可能なサイトの場合、誰でも攻撃可能。
-会員制サイトの場合、そのサイトを利用可能な会員でしないと、攻撃方法を見い出せない。
***攻撃方法 [#s35e1263]
操作中にリンクを踏む必要があるので、
-対象システム内にリンクの書き込みを行う事が多い。
-しかし、会員制の場合、通常、書き込み者が解れば足がつくので攻撃しない。
***[[攻撃方法・対策方法>https://dotnetdevelopmentinfrastructure.osscons.jp/index.php?SC%EF%BC%9A%E8%84%85%E5%A8%81#xd433779]] [#s35e1263]
対象システム外に書き込みを行う場合、
-そもそもリンクを踏む可能性が低い。
-会員制サイトを攻撃する場合、会員である必要がある。
GET要求を投げるための偽装テクニックがある。
-0サイズのiframeタグなどを利用する。
-0サイズのimgタグのsrc属性に書く
*参考 [#a8f3a2cf]
-クロスサイト・リクエストフォージェリ(CSRF)対策(ASP.NET,C#,VB.NET編) | Webセキュリティの小部屋~
https://www.websec-room.com/2013/03/06/473
-ASP.NET Core MVC で追加されたAutoValidateAntiforgeryToken属性が便利 - 時が癒す~
http://mrgchr.hatenablog.com/entry/2016/11/16/000000
**[[XSRF(CSRF)とは?>https://dotnetdevelopmentinfrastructure.osscons.jp/index.php?SC%EF%BC%9A%E8%84%85%E5%A8%81#xd433779]] [#aa0d7174]
**[[脆弱性対策のポイント - Open 棟梁 Wiki>https://opentouryo.osscons.jp/index.php?%E8%84%86%E5%BC%B1%E6%80%A7%E5%AF%BE%E7%AD%96%E3%81%AE%E3%83%9D%E3%82%A4%E3%83%B3%E3%83%88]] [#dde764f4]
----
Tags: [[:テスト]]