CSRF 공격의 개요

사이트 간 요청 위조(또는 크로스 사이트 요청 위조, 영여: Cross-site request forgery, CSRF, XSRF)는 웹사이트 취약점 공격의 하나로, 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위(수정, 삭제, 등록 등)를 특정 웹사이트에 요청하게 하는 공격을 말함(웹 브라우저)

 

유명 경매 사이트인 옥션에서 발생한 개인정보 유출 사건에서 사용된 공격 방식 중 하나임

 

사이트 간 스크립팅(XSS)을 이용한 공격이 사용자가 특정 웹사이트를 신용하는 점을 노린 것이라면(웹 서버), 사이트간 요청 위조는 특정 웹사이트가 사용자의 웹 브라우저를 신용하는 상태를 노린 것(웹 브라우저)

 

일단 사용자가 웹사이트에 로그인한 상태에서 사이트간 요청 위조 공격 코드가 삽입된 페이지를 열면, 공격 대상이 되는 웹사이트는 위조된 공격 명령이 믿을 수 있는 사용자로부터 발송된 것으로 판단하게 되어 공격에 노출 됨(믿는 도끼에 발등)

 

2001년에 처음 발표

 

인터넷 해킹과 보안, 김경곤, 한빛아카데미, 2017

CSRF 공격 구조

CSRF(Cross Site Request Forgery)는 특정 사용자를 대상으로 하지 않고, 불특정 다수를 대상으로 로그인된 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위(수정, 삭제, 등록, 송금 등)를 하게 만드는 공격임

 

CSRF 예방 방법

CSRF를 예방하기 위해서는 각각의 HTTP 요청에서 예측 불가능한 토큰을 포함해야 함, 최소한 이런 토큰들은 사용자 세션마다 고유해야 함(토큰 식별)