CSRFの凶暴性

イントラネットからのアクセスを前提としてWebアプリケーション
たとえばルータの設定画面
たとえばグループウェア
たとえば住基ネット
を、イントラネット内で操作する人に、操作用URLを踏ませればCSRFはできます。

イントラネットからファイヤーウォール越しにインターネットにアクセスする人々に対して、インターネット上の特定のウェブページに誘導し、画像でも、フレームでも、リダイレクションでもかまわないので通常無意味であるはずの
http://192.168.0.1/intranet_web_application?malicious_parameter
などを踏ませれば、ルータやグループウェアや住基ネットは、アクセス者が無意識の内に操作されてしまいます。

そして、悪意あるURLを踏ませる方法はインターネット上のWebページでなくとも、chatでのURL通知でも、HTMLメールでも、なんでもかまわないのです。URLの通知はexcelファイルでもwordファイルでもpptファイルでもでき、さらにPDFファイルに仕込むことさえできるはずです。

さらにさらに、イントラネットの「Webアプリケーション」だけがCFRFで操作可能なわけではありません。telnet系の命令で動くアプリ、たとえばメールサーバのメール送信機能も悪意あるURLを踏ませば操作できるはずですよね？つまり、うまくやればsendmailをCSRFで操作させてspamやウイルスぐらいは送れるのではないかと思います。

ルータやグループウェアやメールサーバぐらいなら、まだ被害はさほど大きくもないでしょうけれども、住基ネットや電子カルテや銀行の口座管理などの操作仕様が悪意ある人物に知られたら悪意あるURLを作るのは造作もないはずで、万が一無頓着な「中の人」が悪意あるURLにアクセスしてその自動操作が動作してしまった場合、大変な被害になることでしょう。