Programming
| No. | 747 |
| Name. | swindler |
| Subject. | CSRF (Cross Site Request Forgery) |
| Main Cate. | 개발일반 |
| Sub Cate. | |
| Date. | 2014-01-17 18:50 |
| Hit. | 3340 (211.36.2...) |
| File. | |
| CSRF는 웹취약성 공격의 일종이다. 쉽게 예를 들면 다음과 같다. 일반게시물을 가장하여 delete 페이지에 submit을 하는 script를 숨겨두었다고 치자. 하지만, form에 적당히 값을 담았다고 하더라도 권한이 없으므로 삭제가 되지 않는다. 그런데, 이 페이지가 관리자에 의해서 열렸다고 치면, 관리자는 권한이 있기 때문에 정상적으로 삭제가 될 수 있는 것이다. 일반적으로 script를 글에 포함시키지 못하도록 하는 방법이 있으나 완벽하지는 않다. img tag로 공격하는 경우도 상당하다. 간단하게는 HTML을 허용하지 않거나, HTML TAG를 whitelist방식으로 허용한다거나, 혹은 form page와 action page에 토큰으로 체크하거나, 비밀번호를 매번 입력받는다던가. [바로가기 링크] : http://coolx.net/cboard/develop/747 |
|
|
|
|
| [Modify] [Delete] | [Reply] [List] | |
Copyright © 1999-2017, swindler. All rights reserved.
367,611 visitor ( 1999.1.8-2004.5.26 ), 2,405,771 ( -2017.01.31)