記事個別表示 (3937)
これは「水無月ばけらのえび日記 : Refererを捏造「させる」方法?」に関連するコメントです。
[3937] Re: 「Refererを捏造「させる」方法?」
えむけい (2006年11月7日 0時39分)
> ユーザ側の対策としては、スクリプトと ActiveX を無効にすることですかね……。
しかしCSSXSS対策とか称してhiddenフィールドにスクリプトで値を突っ込まれちゃったりなんかするともうあっちを立てればこっちが立たず状態でどうしようもありません。某「正しいCSRF対策」の初版にもそんな方法が書いてあったような。
ていうかスクリプトで任意のRefererを追加できるのですか? ちなみにXMLHttpRequestはクロスドメインで使えないので、攻撃者が攻撃対象のサイトと同じドメインでWebページをホストできるとか攻撃対象のサイトにXSSがあるとか攻撃対象のWebサーバーに侵入してページを書き換えたとかブラウザにバグがあるとかの条件が成立しないと役に立ちません。
どうでもいいですが
>> となるとCSRF対策のひとつの「正しいリファラーは許可する」というアプローチも危険ということになります。
正しいRefererも正しくないRefererもRefererなしも弾けば確かに完璧に安全ですね【謎】。
これは「水無月ばけらのえび日記 : Refererを捏造「させる」方法?」に関連するコメントです。
全読: [3935]Re: 「Refererを捏造「させる」方法?」からのスレッド(8件)]