XSS and CSRF

XSS

악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법

웹 애플리케이션이 사용자로부터 입력받은 값을 제대로 검사하지 않을 때 나타남

의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취함!

store xss - 서버에 저장해 실행하는 방식

reflected xss - URL 파라미터에 스크립트를 넣어 바로 반사되게 하는 공격

 

CSRF

사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 공격

특정 웹사이트가 사용자의 웹 브라우저를 신용하는 상태를 노린 것

선행되어야하는 조건

1. 사용자가 웹사이트에 로그인한 상태여야 함

2. 희생자는 공격자가 만든 피싱 사이트에 접속해야 함

사용자가 웹사이트에 로그인한 상태에서 사이트간 요청 위조 공격 코드가 삽입된 페이지를 열면, 공격 대상이 되는 웹사이트는 위조된 공격 명령이 믿을 수 있는 사용자로부터 발송된 것으로 판단하게 되어 공격에 노출됨

 

XSS	CSRF
악성 스크립트가 클라이언트에서 실행 목적: 세션 갈취, 웹사이트 변조	권한을 도용당한 클라이언트가 가짜 요청을 서버에 전송 목적: 권한 도용

 

CSRF token

서버에서 뷰 페이지를 발행할 때 랜덤으로 생성된 Token을 같이 준 뒤 사용자 세션에 저장

사용자가 서버에 작업을 요청할 때 페이지에 숨어있는 Token 값이 서버로 같이 전송됨

서버에서는 해당 Token 값이 세션에 저장된 값과 일치하는 지 확인하여 위조된 요청인지를 판별함

(https://codevang.tistory.com/282)