クロスサイトリクエストフォージェリ

Railsセキュリティガイド クロスサイトリクエストフォージェリ(CSRF)

必要なもの

• サンプル・アプリケーション
• 被害者の役割のためのブラウザ

手順

• ブラウザでサンプルアプリケーションにユーザ登録後、ログインする。
  • http://localhost:3000
• ブラウザでoutside/csrf/index.htmlを開く。
• ブラウザでブログ一覧を見る。
  • http://localhost:3000/blogs
• 自分のユーザで登録していないブログが投稿されていることを確認する。

サンプルアプリケーションの脆弱性

ログインしているユーザはGETリクエストでブログを投稿できるようになっている。 https://github.com/ken1flan/security_sample/blob/master/config/routes.rb#L7

直し方

• GETリクエストでブログを投稿できることが本当に必要なのか再確認し、不要ならやめる。