harupu https://blog.hatena.ne.jp/harupu/ 交差点の猫 https://harupu.hatenadiary.org/ Webアプリ 長文っぽい。前半は「画面遷移管理」と「CSRF対策」を正しく読まないとごっちゃになるかも。 だが、今ここでは「HTMLテキスト（hiddenパラメタを含む）が漏れる脆弱性」の存在を仮定している。それは、1ページ目へのCSRF攻撃のresponseを攻撃者は読めるということを意味するのだから、その値を使った2ページ目のCSRF攻撃へと続けることができてしまう。 よって、セッションハイジャック攻撃を用いなくても、それと同じ脅威をもたらす攻撃は可能である。 はなるほどーって思った。「唯一セッションハイジャックの方が脅威が大きくなる状況」でちゃんと例外言ってるけど。「セッションハイジャックよりCSRF… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Fharupu.hatenadiary.org%2Fentry%2F20060410%2Fp1" title="CSRF対策に「ワンタイムトークン」方式を推奨しない理由(高木さんとこ) - 交差点の猫" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> Hatena Blog https://hatena.blog 2006-04-10 00:00:01 rich https://harupu.hatenadiary.org/entry/20060410/p1 1.0 100%