クロスサイトリクエストフォージェリとは？

クロスサイトリクエストフォージェリの意味

ログイン済みの利用者のブラウザに、本人の意図しない要求を別サイトから送信させ、サーバ側で正規の操作として処理させる攻撃。ブラウザが自動的にCookieを付けて送る性質を悪用する。

クロスサイトリクエストフォージェリの具体例

罠サイトを開いただけで、会員サイトの退会処理や設定変更、送金要求が実行される。

クロスサイトリクエストフォージェリは試験でどう引っ掛けられる？

対策は要求が正当な画面遷移から来たかの確認（ワンタイムトークンの埋め込みと照合、SameSite属性の付与、重要操作前の再認証）。文字のエスケープはXSSの対策でありCSRFには効かない。

クロスサイトリクエストフォージェリと関連する用語

• SameSite属性
• XSS
• セッション管理

クロスサイトリクエストフォージェリが出た過去問

• クロスサイトリクエストフォージェリ攻撃の対策として，効果がないものはどれか。

  正解：Webブラウザからのリクエストを Webサーバで受け付けた際に，リクエストに含まれる“<”や“>”などの特殊文字を，タグとして認識されない“&lt;”や“&gt;”などの文字列に置き換える。

  要点：エスケープはXSS対策で、CSRFにはトークン照合が要る

  CSRFは、利用者がログイン済みであることを悪用し、攻撃者が用意した外部サイトから正規サイトへ意図しない要求を送らせる攻撃である。対策は、その要求が正規の画面遷移に由来し利用者の意思によるものかを確認することであり、乱数トークンの照合、重要操作時の再認証、Refererの確認などが挙げられる。特殊文字のエスケープはXSS対策であって、CSRFには効果がない。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）

• クロスサイトリクエストフォージェリ攻撃の対策として、効果がないものはどれか。

  正解：Webブラウザからのリクエストを Webサーバで受け付けた際に、リクエストに含まれる“<”,“>”などの特殊文字を、“&lt;”,“&gt;”などの文字列に置き換える。

  要点：CSRF対策は要求の正当な出所の確認で、文字のエスケープは無効

  CSRFは、ログイン済みの利用者のブラウザに攻撃者が用意した要求を送らせ、本人の意図しない処理を実行させる攻撃である。対策は、その要求が本当に正規の画面から意図して送られたものかを確認することであり、予測不能なトークンの照合、重要操作時のパスワード再入力、遷移元の確認などが該当する。特殊文字のエスケープはブラウザ上でのスクリプト実行を防ぐ手当てで、CSRFのように正しい形式のまま送られる要求には効かない。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問1（IPA）

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。

  正解：Webブラウザからのリクエストを Webサーバで受け付けた際に,リクエストに含まれる“<”,“>”などの特殊文字を,“&lt;”,“&gt;”などの文字列に置き換える。

  要点：CSRF対策は要求の出所確認で、文字のエスケープは無効

  CSRFは、ログイン済み利用者のブラウザを使って意図しない要求を送らせる攻撃なので、対策の要はその要求が正規の画面から意図して発せられたかを確かめる点にある。予測できないトークンをページに埋め込んで照合する、重要操作でパスワードを再入力させる、遷移元を確認するといった方法が有効である。特殊文字のエスケープは出力時にスクリプトを実行させないための措置で、正しい形式のまま送られるCSRFの要求には効果がない。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）