脆弱性が露見する可能性もある。忘れず検証することで、クライアントサイドにその設定を強制する仕組みとすること。トークンを格納することで管理する方法も一般的となっている。#ウェブサイトの中には、ログイン機能を設け、ログインしている利用者のみが使用可能な機能を提供しているものがあります。該当する機能がマウス操作のみで使用可能な場合、細工された外部サイトを閲覧し操作することにより、利用者が誤操作し、意図しない機能を実行させられる可能性があります。このような問題を「クリックジャッキングの脆弱性」と呼び、問題を悪用した攻撃を、「クリックジャッキング攻撃」と呼びます。ユーザ本人が意図していない副作用を発生させられること。ユーザの個人情報などを盗むなどといったことはできない。要素を使って攻撃対象のサイトを表示する。表示されているものを操作させるという方法である。よる自サイトの表示を許可しないことが対策となる。設定することで実現できる。設定する形に移り変わりつつある。アプリケーション内の他ページや外部サイトに遷移するためのリダイレクト機能を悪用し、被害者を攻撃者が用意したページに誘導することが可能になる脆弱性です。遷移が発生する実装がよく見られます。被害者にアクセスさせることで攻撃者の用意したページに誘導することが可能になります。作成した上で、メールなどでこれを配布し、利用者をリダイレクト先に誘導する。利用者が信頼しているドメインであるため、利用者は自分が信頼するサイトを閲覧しているつもりのまま、知らないうちに悪意のあるサイトに誘導される。リダイレクト先にはもとのサイトに似せたデザインのサイトが用意されており、そこでユーザ情報などを入力させるといった悪事が試みられることになる。指定せず、対応するリダイレクトごとに番号指定にする」であったり、「リダイレクト先のドメイン名をチェックする」といったものがある。検証を徹底するのが後者の対応である。後者の場合、リダイレクト先が自サイトのドメイン配下のページであることを正規表現で確認すれば良い。#ログイン試行の攻撃オンラインでのブルートフォース攻撃への対抗策としては、アカウントロックが有効。パスワードの間違いが一定回数を超えた場合にアカウントをロックする。分間ロックするというのが考えられる。正常にログイン成功した場合は、間違いのカウンタをリセットする。分後にロックの自動解除およびカウンタをリセットする。分だと短いと感じるかもしれないが、これでも相当の効果がある。回のアカウントロックが発生する。アドレスからの通信を遮断するなど、対処の時間を確保することができる。リバースブルートフォース攻撃といったものがある。入れ替えながらログインを試行するものである。両方を入れ替えながら試行する、パスワードスプレー攻撃もある。ID/パスワードリストを用いてログイン試行する、パスワードリスト攻撃もあり、こうした攻撃にはアカウントロックの対抗策は無力である。いった発展的な攻撃に対しては、二段階認証を用いなければ対抗できない。パスワード解析の攻撃パスワードはハッシュ化して記録することが前提だが、その場合でもさまざまな攻撃が発生している。ある文字列に対してある暗号化アルゴリズムを用いてハッシュ化した場合、結果は必ず同じものとなる。使われるパスワードのハッシュ値をあらかじめ総当たりで算出しておいて、該当するハッシュ値から逆引きでパスワードを求めようとする手法が、レインボーテーブルである。いった攻撃の対策として、ソルトが利用される。ソルト(salt)は、ハッシュの元データに追加する文字列を指す。ソルトにより、見かけのパスワードを長くするとともに、ソルトをユーザごとに異なるものにすることで、パスワードが同じでも異なるハッシュ値を生成する。ソルトを使ってもブルートフォース攻撃の脅威は残っている。ソルトを使っても、ハッシュの計算時間はさほど変わらないためであり、ブルートフォース攻撃に対抗するためには、ハッシュ計算の速度を遅くする必要がある。そのためには、ハッシュ計算を繰り返し行うことで時間をかけるストレッチングと呼ばれる対策と、パスワードハッシュ化用の遅いハッシュ関数を用いる対策がある。セッション管理の場合クリックジャッキングオープンリダイレクトパスワード認証を狙った攻撃への。