クロスサイトリクエストフォージェリ(Cross site request forgeries)の略。
WWW における攻撃手法の一つ。
具体例として、掲示板に意図しない書き込みをさせられたり、
オンラインショップで買い物をさせられたりするなどの被害が起こる。
また、設定用ウェブページを通して、ルーターや無線LAN等のあらゆる情報機器の設定の、
意図しない変更をされる可能性もある。
具体的な手順として、
- 攻撃者が、攻撃用の Web ページを作成して WWW 上に公開する。 （WWW上ででなくとも、未対策のHTMLメーラーにウェブページをHTMLメールとして送信するだけでもよい。）
- 第三者が、攻撃用の Web ページにアクセスする。
- 第三者は、攻撃者が用意した任意の HTTP リクエストを送信させられる。
- 送信させられた HTTP リクエストによって、攻撃者の意図した操作が行われる。
攻撃用ページに攻撃を行うCGIプログラムを埋め込み、
第三者にページアクセスさせて、CGIプログラムを起動させる手順となる。
開発側の対策としては、
- ワンタイムトークンを使う
- 固定トークンを使う
- パスワードの再入力を求める
などがある。
