CSRF攻撃を防ぐためにAntiForgeryTokenを用いたmvc ajax

クズども · 掲載地 2017/11/02 10:06:29

プロジェクト内のサーバーへのajax投稿データに偽造防止タグが付与されていないことがよく見られ、CSRF攻撃を引き起こします。また、MVCにHtml.AntiForgeryToken()をフォームに追加することで偽造防止 Asp.net マークを追加するのは非常に簡単です。
Html.AntiForgeryToken()は、クッキーと入力に格納される暗号化された文字列のペアを生成します。また、Ajaxの投稿にAntiForgeryTokenも導入しています

MVCにおけるHtml.AntiForgeryToken()は、クロスサイトリクエストフェイジャリー(CSRF:クロスサイトリクエストフェイジャリー)攻撃を防ぐための措置であり、XSS(XSSはCSS:Cross-Site-Scriptとも呼ばれる)とは異なり、XSSは一般的にサイト内の信頼できるユーザーを使って悪意のあるスクリプトコードをネットワークに挿入し、攻撃します。一方、CSRFは疑似信頼されたユーザーがウェブサイトを攻撃するものです。

まず、コードの様子を次のように見てみましょう。

ログインが見えます。

実行中、生成されたHTMLコードは以下のようになります:

ログインが見えます。

テストボタンをクリックしてテストをリクエストし、下図のように偽造防止クッキーが含まれているか確認しましょう。

コントローラ内のコードは以下の通りです:

ログインが見えます。

各コントローラーにValidateAntiForgeryToken機能を追加する必要があります。ユーザーがAntiForgeryTokenを持ってこない場合、以下の方法でフレンドリーなプロンプトを返すことができます。

ログインが見えます。

クズども · 掲載地 2017/11/02 11:05:37

上記の方法では機能をカスタマイズしなければならず、デフォルトのValidateAntiForgeryToken機能は使えません

デフォルトでは、形の形で値を取ってから判断します

jQueryでpostメソッドをカプセル化し、偽造防止検証を行い、コードは以下の通りです:

ログインが見えます。

クズども · 掲載地 2017/11/02 11:17:36

IsAjaxRequestで、それがAjaxリクエストかどうかを判断します

基本的に、IsAjaxRequest()はヘッダーにX-Requested-Withフィールドがあるかどうか、またそれがXMLHttpRequestかどうかを判定します

ドキュメントを見るのは無意味で、ソースコード次第です。

クズども · 掲載地 2021/02/20 19:22:26

ASP.NET CSRF 攻撃 Ajax 要求カプセル化
https://www.itsvse.com/thread-8077-1-1.html

千哲書 · 掲載地 2021/12/09 18:37:56

テストテストテスト

クズども · 掲載地 2026/02/02 19:40:13

ウェブ開発用のajaxフックはすべてのXMLHttpRequestリクエストを傍受します
https://www.itsvse.com/thread-10616-1-1.html

[ASP.NET] CSRF攻撃を防ぐためにAntiForgeryTokenを用いたmvc ajax

関連記事

閲覧したセクション