웹 애플리케이션 취약점 - CSRF

CSRF(Cross Site Request Forgery)

정상적인 경로를 통한 요청과 비정상 요청을 서버가 구분하지 못할 경우, 공격자가 스크립트 구문을 이용하여 정상적인 사용자가 조작된 요청을 전송하도록 하는 기법

 

ex) 조작된 요청 정보를 게시글에 포함하여 희생자가 조회하면서 비정상적인 요청을 서버에 요청함.

 

대응방안

* HTTP 요청 내에 예측할 수 없는 임의의 토큰을 추가하여 정상적인 요청과 비정상적인 요청을 구분.

* XSS의 공격 방식과 유사함으로 XSS에 대한 취약점을 제거하는 것을 권장