こんにちは！
九保すこひです（フリーランスのITコンサルタント、エンジニア）

さてさて、この間LaravelでWebAuthnを使った２段階認証を実装するという記事を公開しましたが、特にウェブ開発にとってセキュリティは重要な位置づけであり続けると思います。（実際に、最近はある大手コンビニチェーンの決済システムの脆弱性が大々的に報じられ、閉鎖を決定してしまいました）

では、Laravelはといえば最低限必要と思われるセキュリティ対策はすでに実装済みで、今回紹介する

CSRF（クロスサイト・リクエスト・フォージェリ）攻撃

についても対応してくれています。

ただ、このCSRF攻撃。
名前は結構有名になったとは思いますが、「一体これってどんな攻撃なの？」って聞かれたらそれほど内容まで知らなかったりしないでしょうか。

もちろんすでにLaravelでは対策をとられているので、問題がないように思いますが、それでも前回お届けした記事LaravelでLINEにチャットボットをつくる（QRコード作成）のように、どうしてもCSRF攻撃を解除しないといけない場合が出てくるのも事実です。

そこで！

今回は、知ってるようで知らないCSRF攻撃について「できるだけ簡単に」説明をしてみたいと思います。

※ もしすでに知ってる方はおそらく真新しい内容は入っていないと思います。こちらからセキュリティに関する他の記事をお楽しみくださいﾟ😉✨

ぜひ皆さんのお役に立てると嬉しいです。

1 登場人物
2 CSRF攻撃が実行されるストーリー
3 どこが問題だったのか
4 では、どうすれば防げるのか
5 ちなみに
6 おわりに

登場人物

善良さん：

今回CSRF攻撃される普通のインターネット・ユーザー。
性格は、めんどくさがり。

「今日も大好きなネットショッピング！」

悪徳くん：

善良さんにCSRF攻撃を仕掛ける愉快犯。
いたずら好き。

「うっしっし！！」

Amason：

架空の有名ネットショッピング・サイト。

CSRF攻撃が実行されるストーリー

では、まずはCSRF攻撃が行われる可能性があるストーリーを見ていきましょう。善良さんの行動のどこに問題があったか、もしくはどこで攻撃されたかを考えながら読み進めてください。

では、スタートです！

善良さん「よし！ボーナス出たからAmasonでお買い物！」

善良さん「ログイン完了❗」

善良さん「これ買っちゃう（ポチっ）😊✨」

善良さん「これも買っちゃう（ポチっ）😊✨」

善良さん「こっちもこっちも買っちゃう（ポチっ）😊✨」

（以下繰り返し）

善良さん「ふー、カートいっぱいになっちゃった。そろそろ注文しよ❗」

善良さん「はい、注文完了❗届くの楽しみ〜。」

善良さん「あっ、そうだ。このあいだ教えてもらったサイトで大好きなロックバンドの情報をチェックしとかなきゃ😚✨」

（サイト移動）

善良さん「ふむふむ・・・えっ、今度ライブあるんだー😳✨」

善良さん「どこでどこで❗❓」

善良さん（ポチっ）

・・・

悪徳くん「はい。善良さん、アウトー❗❗」

「うっしっし！」

どこが問題だったのか

正直言って、先ほどのようなことは普通にやってますよね。

でも、このストーリーでは最悪の場合、勝手に注文されてしまったり、アカウントを乗っ取らてしまう危険性もあります。

ただ、実はこの場合でも善良さんが「あること」さえやっていればCSRF攻撃は実行できませんでした。

それは何かというと・・・

ログアウト

です。

もしかするとお気づきだったかもしれませんが、善良さんは注文をした後、ログアウトせずに別サイトへ移動しています。

そして、その移動先のサイトが「悪いサイト」だったら、ボタンをクリックするだけで、Amasonに「どんなデータでも」送信が可能になります。

なぜなら・・・・・・

善良さんはまだAmasonにはログイン中ですから。

そうです。
例えば、さっき善良さんが「悪いサイト」でクリックしたこのボタン。

実はこれが、以下のようなデータ送信フォームだったらどうでしょう。

<form method="POST" action="（Amasonのログイン情報を変更するURL）">
    <!-- 必要なデータはいくつでも追加できます -->
    <input type="hidden" name="email" value="（悪徳くんのメールアドレス）">
    <input type="hidden" name="password" value="（悪徳くんのパスワード）">
    <input type="submit" value="ライブ情報の詳細をチェックする！">
</form>

ブラウザに表示されているのは単なるボタンですが、実はこれをクリックすると善良さんはログイン情報を（自分自身で）変更してしまうことになるかもしれないのです。

つまり、攻撃者は「どのサイトにどんな情報を送れば、何ができるのか」を把握して攻撃を仕掛けてくるわけですね。

特に「無料でファイルをダウンロードできるよ」とか「今ならライブ・チケットが当選確実になります」とか言葉巧みにクリックを誘うわけです。

「うっしっし！」

これがCSRF攻撃のシンプルな例です。