CSRF (Cross Site Request Forgery)

I. 공격자 의도 행위 수행 기법, CSRF

가. CSRF(Cross Site Request Forgery)의 개념

로그인 된 사용자가 자신의 의지와 무관하게 공격자가 의도한 행위 수행 해킹 기법

나. CSRF의 특징

  • XSS와 함께 웹 환경에서 가장 효과적인 공격 방법
  • 정상 사용자를 통해 이루어지므로 공격자의 IP 추적 불가능
  • 세션 라이딩, 원클릭 공격, 크로스 사이트 참조와 동일

 

II. CSRF 공격 유형 설명

① 공격자는 특정 시스템의 내부 권한 필요 스크립트 생성
② 사용자에게 스크립트가 포함된 이메일, 하이퍼링크 전송
③ 사용자는 링크 연결하여 시스템에 로그인 수행
④ 로그인 권한으로 내부 권한 필요 스크립트 수행

 

III. CSRF 공격 방식 및 대응 방안

가. CSRF 공격 방식

구분설명
공격 기법– 인증 사용자 권한으로 서버에 변조된 요청
공격 시점– 인증 및 세션 생성 후 서버 공격
기능 사용– 인증 권한 기반 서버의 기능을 악용
공격 준비– 서버의 Request/Response를 분석
공격 사례– IMG태그나 EMBED 태그 악용
예) <IMG SRC=”서버 요청변조”>

나. CSRF 대응 방안

취약점대응방안
쿠키
가로채기
– 입력값 검사: 웹페이지 입력폼에 사용자 입력 값 검사, 비정상 값은 Reject
– 쿠키 사용: 쿠키에 중요정보 미포함
세션 변조
사용
– Query String 검사
– 민감 데이터나 값의 트랜잭션 위해 재인증이나 트랜잭션 서명 요청(GET 금지)
부정클릭 사용– 유일한 토큰 사용
DRDoS– DoS 관련 취약점 제거

 

콘텐츠 사용 시 출처 표기 부탁 드리고, 댓글은 큰 힘이 됩니다^^