CSRF(Cross Site Request Forgery)

CSRF(Cross Site Request Forgery) : 사이트간 요청 위조

웹 어플리케이션 취약점 중 하나로 사용자가 자신의 의지와 무관하게 공격자가 의도한 행동을 하여 특정 웹페이지를 보안에 취약하게 한다거나 수정, 삭제 등의 작업을 하게 만드는 공격방법을 의미한다.

​

사용자가 웹사이트에 로그인한 상태에서 사이트간 요청 위조 공격 코드가 삽입된 페이지를 열면,

공격 대상이 되는 웹사이트는 위조된 공격 명령이 믿을수 잇는 사용자로부터 발송된 것으로 판단되어

공격에 노출된다.

​

* XSS 는 사용자가 특정 사이트를 신뢰한다는 점을 공격(script 삽입 공격)하는거라면, CSRF는 특정 사이트가 사용자의 브라우저를 신뢰한다는 점을 공격하는것이 다르다.

​

간단하게 얘기하면

XSS : 클라이언트에서 발생(Script 삽입 공격)

CSRF : 서버에서 발생

 

CSRF 공격 예시

 

1. 공격자는 게시판에 관리자가 관심을 가질 수 있는 제목으로 CSRF 스크립트가 포함된 게시글을 등록한다.
2. 관리자는 확인이 필요한 게시물을 열람하여, CSRF 스크립트가 포함된 게시물을 확인한다.
3. CSRF 스크립트가 포함된 게시물을 확인한 관리자는 관리자권한으로 CSRF 스크립트 요청이 발생된다.
   * 관리자는 CSRF 스크립트가 포함되어있는지 인지하지 못하고 피싱사이트로 이동한다.
4. 공격자가 원하는대로 CSRF 스크립트 결과가 발생하여, 피해가 발생한다.

 

 

​

옥션 사건으로 예를 들어보면

1. 옥션 관리자 중 한명이 관리 권한을 가지고 회사내에서 작업을 하던중 메일을 조회한다.

(로그인이 이미 되어있다고 가정, 옥션에 관리자권한으로 로그인했을때)

 

<img src="http://auction.com/changeUserAcoount?id=admin&password=admin" width="0" height="0">

2. 공격자는 위와 같은 img 태그가 들어간 코드를 이메일에 담아 보낸다. 옥션 관리자는 이미지 크기가 0이므로 소스코드를 보지않는 이상 알수없다.

3. 옥션 관리자가 이메일을 열람할 경우 보이지 않는 img 태그의 src로 요청을 보낸다.

4. 공격자가 원하는대로 관리자의 계정이 admin 계정으로 변경된다.