パスワード再設定メールのURLについて知っておこう

2026年10月11日に「大阪電通大 x OWASP Kansai 〜ゲームとアプリのセキュリティ〜」で発表したLT資料です。（10分）

パスワード再設定URLの仕組みと、Hostヘッダーを利用した「パスワードリセットポイズニング」の攻撃・対策を、ローカル環境のデモを通して紹介しました。

イベントページ：
https://owasp-kansai.doorkeeper.jp/events/199183

GitHub：
https://github.com/uyuki234/owasp-kansai-202610-password-reset-lt

Transcript

1. パスワード再設定メールの URLについて知っておこう uyuki234 2026/10/11 大阪電通大 x OWASP Kansai 〜ゲームとアプリのセキュリティ〜
2. About me • uyuki（うゆき） / uyuki234 • 興味：セキュリティ / ネットワーク / 低レイヤー • 読書→https://scrapbox.io/uyuki234/ • SNS→https://x.com/uyuki234 • 全てを自作したい！（まだ：コンパイラ／済？：CPU、OS） 2
3. パスワードを再設定したこと ありますか？ 3
4. 多分、全人類やってる 4
5. URLでパスワードを再設定 したことありますか？ 5
6. パスワード再設定のリクエストをお受けいたしました。 以下のURLからパスワードの再設定を行って下さい。 https://example.com/reset?token=abc123 ※このURLはyyyy年MM月dd日 HH時mm分ss秒まで有効です。 ************************************************** なお、この内容にお心当たりの無い場合は、他の方が メールアドレスを間違えて入力した可能性があります。 その場合、このメールは削除していただけますよう、 お願い申し上げます。 ************************************************** 6
7. URLでパスワードを再設定 する仕組みを知っていますか？ 7
8. https://commons.nicovideo.jp/works/nc222068 8
9. 架空のゲームサイトを作った（ AI生成） game.test:3000 mail.test:3001 ゲームサイト ログイン・パスワード再設定 被害者のメールボックス 9
10. パスワード再設定の流れ • 登録済みのメールアドレスで申し込む 10
11. パスワード再設定の流れ • 登録済みのメールアドレスで申し込む 11
12. パスワード再設定の流れ • 登録済みのメールアドレスで申し込む 12
13. パスワード再設定の流れ • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く 13
14. パスワード再設定の流れ • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する 14
15. パスワード再設定の流れ • • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する パスワードが更新される 15
16. パスワード再設定の流れ • • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する パスワードが更新される 16
17. パスワード再設定の流れ • • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する パスワードが更新される 17
18. パスワード再設定の流れ • • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する パスワードが更新される トークンがあればパスワードを再設定できる 18
19. パスワード再設定の流れ • • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する パスワードが更新される トークンがあればパスワードを再設定できる トークンが漏れると、第三者でも再設定できてしまう 19
20. パスワード再設定の流れ • • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する パスワードが更新される トークンがあればパスワードを再設定できる トークンが漏れると、第三者でも再設定できてしまう 20
21. パスワード再設定の流れ • • • • 登録済みのメールアドレスで申し込む 再設定用のURLがメールで届く URLを開き、新しいパスワードを入力する パスワードが更新される パスワードリセットポイズニング という攻撃手法がある トークンがあればパスワードを再設定できる トークンが漏れると、第三者でも再設定できてしまう 21
22. 架空のゲームサイトを作った game.test:3000 mail.test:3001 ゲームサイト ログイン・パスワード再設定 被害者のメールボックス 22
23. 架空のゲームサイトを作った game.test:3000 ゲームサイト ログイン・パスワード再設定 mail.test:3001 attacker.test:3002 被害者のメールボックス 攻撃者のサイト 届いたトークンを取得 攻撃者 attacker.test:3002 23
24. デモ 24
25. デモで起きたこと 攻撃者 ゲームサイト 被害者 attacker.test:3002 game.test:3000 mail.test:3001 ① 細工した再設定要求 ② 再設定メール ③ リンクを開く（トークン） ④ トークンで再設定 ⑤ 被害者としてログイン 攻撃成功 25
26. デモで起きたこと 攻撃者 ゲームサイト 被害者 attacker.test:3002 game.test:3000 mail.test:3001 ① 細工した再設定要求 ② 再設定メール ③ リンクを開く（トークン） ④ トークンで再設定 ⑤ 被害者としてログイン 攻撃成功 26
27. ① Hostを書き換えて申し込む HTTPリクエストの抜粋 POST /forgot-password HTTP/1.1 Host: attacker.test:3002 攻撃者 ゲームサイト email=victim@example.com game.test:3000 HostからURLを生成 ゲームサイトから被害者に届くメール http://attacker.test:3002/reset?token=… 27
28. ① Hostを書き換えて申し込む HTTPリクエストの抜粋 POST /forgot-password HTTP/1.1 Host: attacker.test:3002 攻撃者 ゲームサイト email=victim@example.com game.test:3000 接続先はゲームサイトのまま HTTPリクエストの Hostだけを攻撃者のドメインに変更 HostからURLを生成 ゲームサイトから被害者に届くメール http://attacker.test:3002/reset?token=… 28
29. ① Hostを書き換えて申し込む HTTPリクエストの抜粋 POST /forgot-password HTTP/1.1 Host: attacker.test:3002 攻撃者 ゲームサイト email=victim@example.com game.test:3000 接続先はゲームサイトのまま HTTPリクエストの Hostだけを攻撃者のドメインに変更 HostからURLを生成 ゲームサイトから被害者に届くメール http://attacker.test:3002/reset?token=… 29
30. ① Hostを書き換えて申し込む HTTPリクエストの抜粋 POST /forgot-password HTTP/1.1 Host: attacker.test:3002 攻撃者 ゲームサイト email=victim@example.com game.test:3000 接続先はゲームサイトのまま HTTPリクエストの Hostだけを攻撃者のドメインに変更 HostからURLを生成 ゲームサイトから被害者に届くメール http://attacker.test:3002/reset?token=… 30
31. ① Hostを書き換えて申し込む HTTPリクエストの抜粋 POST /forgot-password HTTP/1.1 Host: attacker.test:3002 攻撃者 ゲームサイト email=victim@example.com game.test:3000 接続先はゲームサイトのまま HTTPリクエストの Hostだけを攻撃者のドメインに変更 HostからURLを生成 31
32. ① Hostを書き換えて申し込む HTTPリクエストの抜粋 POST /forgot-password HTTP/1.1 Host: attacker.test:3002 攻撃者 ゲームサイト email=victim@example.com game.test:3000 接続先はゲームサイトのまま HTTPリクエストの Hostだけを攻撃者のドメインに変更 攻撃者のドメイン HostからURLを生成 32
33. ② クリックでトークンが届く ① メールのURLを開く GET /reset?token=… HTTP/1.1 被害者 Host: attacker.test:3002 攻撃者サイト attacker.test:3002 ② 入手したトークンで ゲームサイトへアクセス トークンを取得 http://game.test:3000/reset?token=… ゲームサイト game.test:3000 33
34. ② クリックでトークンが届く ① メールのURLを開く GET /reset?token=… HTTP/1.1 被害者 Host: attacker.test:3002 攻撃者サイト attacker.test:3002 ② 入手したトークンで ゲームサイトへアクセス トークンを取得 http://game.test:3000/reset?token=… ゲームサイト game.test:3000 34
35. ② クリックでトークンが届く ① メールのURLを開く GET /reset?token=… HTTP/1.1 被害者 Host: attacker.test:3002 攻撃者サイト attacker.test:3002 ② 入手したトークンで ゲームサイトへアクセス トークンを取得 http://game.test:3000/reset?token=… ゲームサイト game.test:3000 35
36. ③ トークンでパスワードを更新 HTTPリクエストの抜粋 POST /reset HTTP/1.1 Host: game.test:3000 ゲームサイト 攻撃者 game.test:3000 token=…&password=attacker-pass victim@example.com のパスワードを更新 original-pass attacker-pass 攻撃者がパスワードを変更できた！！ 36
37. デモで起きたこと 攻撃者 ゲームサイト 被害者 attacker.test:3002 game.test:3000 mail.test:3001 ① 細工した再設定要求 ② 再設定メール ③ リンクを開く（トークン） ④ トークンで再設定 ⑤ 被害者としてログイン 攻撃成功 37
38. 対策：URLのベースを固定する 同じ Host: attacker.test:3002 を受け取った場合でも … 変更前： Hostを使う 変更後：設定値を使う baseURL = "http://" + r.Host baseURL = d.serviceURL attacker.test:3002 game.test:3000 再設定URLのベースは Hostに依存せず設定値から作る 参考：OWASP Forgot Password Cheat Sheet / URL Tokens 38
39. まとめ • パスワード再設定メールのURLについて知った ◦ • • 有効なトークンがあれば第三者でも再設定できる パスワードリセットポイズニングという攻撃手法がある サービス側で対策ができる ◦ URLの生成方法を Hostヘッダーに依存しないようにする 39
40. パスワード再設定メールの URLについて知っておこう uyuki234 2026/10/11 大阪電通大 x OWASP Kansai 〜ゲームとアプリのセキュリティ〜