ずばり、ザ･インタビューズの脆弱性を探しましたか？ - hamachiya2インタビュー
探すもなにもデータ更新されるリクエスト(フォローとか設定とか)でトークン送ってなくて 特にリファラチェックもしてないみたいだから CSRFされまくりなのだと思いますが、とりあえず気にしなくてもいいとおもいます。 個人、小規模なサービスで、 ５分以内に脆弱性がみつからないサイトなんて皆無だと思う。 世の中そんなもんなんだから、 売れっ子になったり、誰かにいたずらされたり、余裕が出てきたら対応すればいいんじゃないかな。 そんなわけでぼくは「脆弱性があってあたりまえ」の小規模サービスには いたずらなどはしないようにしています。
webアプリケーションの脆弱性とは？ - OKWAVE
こんにちは！ 「フォームを勝手にサブミットしてしまう」 その認識でだいたいあってます！たぶん！ そのmixiの例だと、 入力画面 → (送信1) → 確認画面 → (送信2) → 完了 ってなるわけですが、 いくら確認画面が間にあったところで、 (送信2)の部分を「勝手にサブミット」しちゃえばいいわけです。 ※ただし今のmixiや、ちゃんとしたwebサービスは送信時にトークンをつけるとかCSRF対策してるのでできません 実際の攻撃の例としては、mixiやtwitterなどの多くの人が繋がっている投稿型サイトで、 「こんにちはこんにちは！！ このリンク先すごいよ！ http://～」 のような書き込みをしておき、 そのリンク先でformやJavaScript等で「自動的に勝手にサブミット」してしまいます。 画面には何も表示されなくてもかまいません。 そしてさらに勝手に書き込む内容を 「こんに
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
