［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！
第2回 しーさーふって何ですか？
＜前回のお話＞ わかばちゃんのブログに，覚えのない日記が書かれていた。パスワードが盗まれたと思いきや，どこかのサイトに自動的に日記を書かせるプログラムが仕込まれていて，それを知らずにリクエストしてしまったためという。怪しいリンクはクリックしないよう心がけているのに…どうして？
登場人物紹介
- はまちちゃん
- さわやか笑顔のスーパーハカー。時折見せる憂いを帯びた瞳の奥に映っているのは，きっとあなたの脆弱性。
- わかばちゃん
- メガネがかわいいネット大好き14歳。だけどプログラムはちんぷんかんぷん。
- ※ src：
- 画像の場所を指定する属性。相対パスではなくURLで書けば，他のドメインにある画像を表示することも可能。つまりURLに対してGETリクエストを行う（閲覧者に行わせる）お手軽な手段とも言え，これを用いてなんらかの攻撃が行われることもしばしば。
まとめ
このように，imgタグなどによって，閲覧者のブラウザからどこかのURLへ任意のリクエストを「送らせる」ことは簡単にできてしまいます。しかも，それで発生するリクエストは，閲覧者自身がリンクをクリックしたときとなんら変わりはありません。では，これを攻撃として用いられた場合（つまりCSRF），Webプログラム側ではどのように防げばよいのでしょう。
きっとまっさきに思いつくのは，「POSTリクエストを使うようにする」，あるいは「リファラヘッダ（リンク元が記載されているヘッダ行）のチェックを行う」などでしょうか。しかしそれだけでは不完全なのです。単純な攻撃ですが，対策するとなると意外と難しいのがCSRFです。次回はそのあたりに，わかばちゃんが踏み込んでいきます。しかも水着で…！ お楽しみに！
CSRFについて学んだわかばちゃん。その対策方法とは？
次回，乞うご期待！
はまちや2（通称はまちちゃん）
mixiやHatena，果てはGoogleやYahooやAmazon，そしてIEの脆弱性を突き，世の中を混乱に陥れたクラッカー。彼がmixiに放ったワームによって，CSRFという攻撃手法が一気に日の目を浴びることとなった。ユーモア溢れるキャラクターで愛され，独特のテンポでつづるブログにはファンが多い。合言葉は『こんにちはこんにちは！！』
竹原（たけはら）
はてなダイアリーの非公式マスコットキャラ『はてなちゃん』を，独自の可愛らしいタッチで描くことで注目されている絵師。 彼女の描くイラストは，いずれも淡い色彩で塗られているにもかかわらず，つい目を引いてしまう色使いが特徴的。 ほもだいすきな腐女子。『幕府をつくりたいのですが』(白泉社)の表紙イラスト・挿絵などを手がけた。