PHP における CSRF の攻撃と防御のガイド

CSRF攻撃とは、ユーザーの認証情報を偽造することで悪意のあるリクエストを実現する攻撃手法を指します。 Web 開発で広く使用されている言語である PHP は、CSRF 攻撃のターゲットになる可能性が高くなります。この記事では、PHP 言語による CSRF 攻撃の基本概念、攻撃手法、およびその応用シナリオを紹介し、PHP での CSRF 攻撃に対する防御ガイドラインも提供します。

1. CSRF 攻撃の基本概念

CSRF の正式名は、Cross-Site Request Forgery です。 CSRF 攻撃は、Web アプリケーションの脆弱性を悪用し、正規のユーザーになりすまして特定の悪意のある動作を実行する攻撃手法です。 CSRF 攻撃は受動的な攻撃です。攻撃者は被害者のパスワードやその他のデータを直接取得することはできません。代わりに、攻撃者は被害者をだまして悪意のある Web サイトにアクセスさせたり、悪意のあるリンクをクリックさせたりすることで攻撃の目的を達成します。

2. CSRF 攻撃の実行方法

CSRF 攻撃の実行方法には通常次のものが含まれます:

1. イメージ タグと iframe タグを使用してリクエストを送信します: 攻撃者イメージ タグまたは iframe タグに悪意のあるコードを埋め込み、被害者が攻撃者の Web サイトにアクセスしたときに、埋め込まれた悪意のあるコードにアクセスするように誘導します。被害者が攻撃者の Web サイトにアクセスすると、攻撃者のコードがターゲット Web サイトにリクエストを自動的に送信します。
2. フォーム送信を使用してリクエストを送信する: 攻撃者は、ターゲット Web サイトに似たフォームを偽造し、そのフォーム内で被害者の認証情報を偽造することで、ユーザーをだましてフォームを送信させます。被害者がフォームを送信すると、攻撃者の悪意のあるコードによってフォーム内の情報がターゲット Web サイトに送信され、ターゲット Web サイトでは偽造された認証情報が正規のユーザーからのリクエストとみなされます。
3. Ajax テクノロジーを使用してリクエストを送信する: 攻撃者は、JavaScript コードを使用して GET または POST リクエストを偽造し、Ajax テクノロジーを通じてターゲット Web サイトにリクエストを送信します。このプロセス中に、攻撃者は被害者の認証情報も偽造します。

3. PHP における CSRF 攻撃アプリケーション シナリオ

PHP 開発では、CSRF 攻撃につながる可能性のあるシナリオが多数あります。一般的なものには次のものがあります。

1. get メソッドを使用してフォームでデータを送信する: アプリケーションが get メソッドを使用して機密情報を含むデータを送信すると、悪意のある攻撃者が Web にリンクを作成する可能性があります。攻撃リクエストを送信するページ。
2. フォーム送信時のセキュリティ識別の欠如: 送信する必要がある機密データがある場合は、ランダムに生成されたトークンをフォームに追加するなど、フォームの送信時にセキュリティ識別を追加する必要があります。
3. アプリケーションに悪意のあるスクリプトがあります: アプリケーションに悪意のある JavaScript スクリプトが含まれている場合、これらのスクリプトがユーザーのブラウザを利用して、ユーザーが何らかの悪意のある操作を実行できる可能性があります。
4. 不十分なアクセス制御: アプリケーションにアクセス制御がない場合、攻撃者はアクセス制御によって保護する必要があるリクエストを送信する可能性があります。

4. PHP における CSRF 攻撃の防御ガイドライン

CSRF 攻撃を回避するには、Web アプリケーションのセキュリティを強化するために、次の点を含むいくつかの対策を講じる必要があります:

1. ランダムに生成されたセキュリティ ID: フォーム送信時にランダムに生成されたセキュリティ ID を追加します。この ID は、フォーム送信の合法性を検証するためのトークンとして使用できます。
2. 非同期リクエストのソースを制限する: 非同期リクエストのソースを制限するには、Origin Header を使用して非同期リクエストのソースを制限します。
3. データ アクセスの標準化: データ アクセスを標準化するために、管理側へのデータ アクセスをカプセル化することをお勧めします。これは、アプリケーションが悪意のある動作を検出して処理するのに役立ちます。
4. アクセス制御の強化: アクセス制御の強化は、CSRF 攻撃を軽減するために非常に重要です。アプリケーションにアクセス制御ルールを追加して、承認されたユーザーのみがパスワードやユーザー アカウントの変更などの機密性の高い操作を実行できるようにすることをお勧めします。
5. 本人確認: ユーザーの本人確認は非常に重要です。ユーザーの身元を確認するには、暗号化されたユーザー認証を推奨します。
6. クライアント側スクリプトをエンコードする: JavaScript 文字エンコーディングを使用してクライアント側スクリプトをエンコードすると、攻撃者がソース コードを取得したときに
   • cURL を使用して PHP で Get リクエストと Post リクエストを実装する方法
   • cURL を使用して PHP で Get リクエストと Post リクエストを実装する方法
   • cURL を使用して PHP で Get リクエストと Post リクエストを実装する方法
   • cURL を使用して PHP で Get リクエストと Post リクエストを実装する方法
   • 正規表現内のすべての式記号 (概要)