CSRF攻撃のブラックリスト

Question

私はCSRF攻撃のブラックリストを作成したいと考えています。たとえば、SQL injectionには、select,from、where、dropなどのキーワードをブラックリストに設定できます。 CSRF攻撃ブラックリストを作成することは可能ですか？

Answer 1

実際には... CSRFは、実際のセッションでブラウザによって開始された実際のリソースへの要求です。何とかブロックしようとすると正当な要求をブロックすることになります。唯一の方法は、いくつかのCSRFトークンと、あなたのWebアプリケーションのorigin/refererヘッダのチェックです。

Answer 2

CSRFのブラックリストをdaniel fとして実装することはできません。特筆すべき入力が全くないので、ブラックリストフィルタは一般に非常に弱い制御であることが知られている。 SQLインジェクションに対しても不十分であることが多く、厳格な言語と比較的小さなキーワードセットのためにブラックリストから保護するのが最も簡単なものの一つです。

OWASPはSQL injectionについて次のように述べています。「ほとんどの場合、ブラックリストには抜け穴があり、SQLインジェクション攻撃を防ぐには効果がありません。他のブラックリストについても同様です。

CSRFがhereと記載されているのを防ぐにはいくつかの方法がありますが、ブラックリストの入力はその1つではありません。