うつろい EC は CSRF 対策として Referer 検証を採用(Token は使っていない)。サーバ側のコード:
// PHP
$referer = $_SERVER['HTTP_REFERER'] ?? '';
if (strpos($referer, 'shop.utsuroi.example.com') === false) {
abort(403);
}
// ↑ Referer 文字列に 'shop.utsuroi.example.com' が含まれていれば OK
これは古典的な実装ミス。「含まれているか」だけを見ているので、攻撃者が自分のドメインに shop.utsuroi.example.com という文字列を含ませれば素通りしてしまう。
Referer 検証を回避する攻撃者ドメインを下のリストから選んで、CSRF を成立させてください。
(まだ攻撃を実行していません)
(待機中)
PHP の strpos($haystack, $needle) は「$needle が $haystack のどこかに含まれているか」を見ます。先頭一致でも完全一致でもなく、部分一致。これを利用して...
2つの回避ベクトルがあります:
https://shop.utsuroi.example.com.evil.com/promo — サブドメイン汚染https://attacker.com/?x=shop.utsuroi.example.com — クエリ文字列に偽装どちらも文字列としては shop.utsuroi.example.com を含むので、strpos ベースのチェックを通過。「ホスト部の完全一致」を見るのが正解です。