テクノロジ系 / セキュリティ
クロスサイトリクエストフォージェリ
クロスサイトリクエストフォージェリは、ログイン済み利用者に意図しないリクエストを送らせる攻撃です。
別名・関連表記：CSRF
もう少し詳しく
CSRFでは、攻撃者が用意したページやリンクを踏ませ、利用者がログイン中のWebサービスに対して、本人の操作に見えるリクエストを送らせます。XSSがスクリプトを実行させる攻撃であるのに対し、CSRFは利用者の認証済み状態を悪用してリクエストを偽造する点が特徴です。対策にはCSRFトークン、Referer確認、重要操作時の再認証があります。
試験での見方
利用者が攻撃ページを開いただけで、ログイン中の通販サイトに配送先変更リクエストが送られます。
「ログイン済み利用者に勝手に送信させる」「CSRFトークン」が出たらCSRFです。ブラウザで不正スクリプトを動かすXSSとは分けます。