『辞書にのっているような単語を「乱数の種」に使ってしまうと、現実的な時間内に「種」が解読され、CSRF攻撃される可能性がある』

www.tokumaru.org/d/20110127.html

『Ajaxの処理の際にもトークンを送る必要がでてきました。新しく追加された csrf_meta_tag をlayoutなどで

d.hatena.ne.jp/mat_aki/20110209/1297236358

『この事例から得られる教訓は、トークン生成は安全な乱数を用いるべきであり、安全な疑似乱数生成器がない

www.tokumaru.org/d/20110127.html#p01

d.hatena.ne.jp/monjudoh/20101007/1286475228

イラストのキャプション欄などに貼られていたあるURLをクリックすると、外部サイトを経由し、中傷コメント

www.itmedia.co.jp/news/articles/1002/15/news086.html

blog.asial.co.jp/604

用意したユーザIDで自動ログインさせて個人情報を取得. ログインページはパスワードが秘密の情報なのでCSRF対策

d.hatena.ne.jp/asannou/20100122

techtarget.itmedia.co.jp/tt/news/1001/12/news01.html

ルスやトロイの木馬などについても学ぶ内容だったという。Amebaでは1月1日、芸能人ブログ450件のパスワードが流出しているほか、昨年12月には「Amebaなう」でCSRFの脆弱性を突かれた問題が起きるなど、セキュリティ関連の不祥事が続いている

www.itmedia.co.jp/news/articles/1001/07/news092.html

『そもそもSQL Injection，CSRF，XSSの基本的なものがすべて盛り込まれています(危険)

blog.poyo.jp/archives/id-1261531603

スパムの意味知らないで記事書いてる？『「CSRF」のスパム攻撃では、ユーザーの個人情報が漏れたり、金銭

www.j-cast.com/2009/12/17056451.html

予想通りcsrf対策がない.

codezine.jp/article/detail/4684

『この手のWebアプリケーションでのテストソリューションをサイバーエージェントで持って/行っていなかった

slashdot.jp/security/article.pl?sid=09/12/14/0428238

いははてなとかそういうフットワーク軽いところだと分単位で修正すると思う - CSRFの指摘を黙殺とか、修正に一ヶ月かかるような企業だと、訴えてきたりしないのかな？ - 訴訟リスクとか負ってまで脆弱性指摘してあげるはまちちゃん優しすぎ - 別にAmebaは訴えたりしないだろうと思うけど。

yugui.jp/articles/851

気をつけないと

www.iza.ne.jp/news/newsarticle/it/internet/335391/

ではこういった取っ付きにくさを払拭しただから、CSRFが…orz『前倒しの理由について、Amebaなうを担当するサイバーエージェントの永山瑛子アシスタントプロデューサーは「モバイル版のリリースを受け、ユーザーから“PC版を

www.itmedia.co.jp/enterprise/articles/0912/12/news003.html

はしなかっただれかが突っ込むと思った。『コミュニティーサイト構築に詳しい専門家は、「CSRF対策は基本的なところ。Amebaなうが対策していなかったのは意外だ」と話

www.itmedia.co.jp/news/articles/0912/11/news033.html

トークンをPOST+COOKIEでチェック。やはりここまでやらねばならぬのね

kaede.to/~canada/doc/csrf-todo

外部javascriptからのアクセスを調べてみよう

kaede.to/~canada/doc/anti-csrf-method-using-no-cache