[정보보호] CSRF 공격 기법

CSRF 공격기법 

 

- 크로스 사이트 요청 위조 공격(CSRF : cross site request forgery attack)

- XSS와 유사하게 활용 가능

- XSS와 차이 -> XSS는 특정 사이트를 신뢰하는 정책을 이용한 코드를 삽업하여 사용자가 script 실행

                      -> CSRF는 특정 인증된 사용자의 요청을 신뢰하는 정책을 이용해 script 요청을 서버에서 실행 시킨다.

 

공격 경로 예시 

 

공격자가 시스템 관리자에게 스크립트가 포함된 메일을 전송한다.

인증된 세션을 가지고 있는 관리자가 메일을 읽는다.

브라우저에서 인증된 세션과 함께 악성 스크립트가 실행된다.

관리자 세션 탈취 성공!!