CSRF (Cross Site Request Forgery) 기초

 

CSRF (Cross Site Request Forgery) 의 목적

이용자가 CSRF가 적용된 링크를 클릭하도록 만든 후 이용자의 정보를 이용하여 이용자도 모르게 추가적인 요청을 보내는 것이다

 

 

 

CSRF (Cross Site Request Forgery) 란?

웹 서비스는 쿠키 또는 세션을 사용해 이용자를 식별한다

CSRF는 누군가의 쿠키를 사용할 수 있다면, 누군가의 권한으로 웹 서비스의 기능을 사용할 수 있다는 것을 이용한다
CSRF는 임의 이용자의 권한으로 임의 주소에 HTTP 요청을 보낼 수 있는 취약점이다

 

 

 

CSRF의 이용 방법

 

비밀번호 변경하기

누군가가 내가 만들어논 URL을 클릭하고 피싱사이트에 접속을 한 뒤 로그인을 했다고 가정하자

로그인을 하면 아이디와 비밀번호가 서버로 전송이 될 것인데 여기서 비밀번호 변경 요청을 서버로 추가로 전송을 하는 것이다
비밀번호 변경 요청을 했을 경우 피해자가 이를 알지 못하도록 화면에 보이지 않게 하는 방법이 필요하며 피해자가 이를 바로 알아차리지 못하게 해야한다

 

 

악의적인 요청보내기

만약 해커의 목표가 은행어플이라 가정하자

그렇다면 해커는 피해자의 계좌에서 돈을 빼내어 자신의 계좌로 돈을 보내야 한다
위의 경우와 마찬가지로 로그인 과정에서 피해자도 모르게 요청을 추가로 보내도록 해야하고 피해자가 바로 알아차리지 못하도록 출금알림이 뜨지 않게 하는 방법등 추가적인 방법이 존재할 수 있다

 

 

피해자의 정보 수집하기

1개의 사이트만 이용하는 것이 아니라 최소 10개 이상의 사이트를 이용하며 각각의 사이트마다 아이디와 비밀번호가 다를것이다

피해자가 로그인을 하는 과정에서 피해자의 아이디와 비밀번호를 자신에게 전달이 되도록 하고 비밀번호 변경 알림을 띄워주거나 다시 입력해달라는 알림이 뜨게 된다면 피해자는 자신의 아이디와 비밀번호가 정상적임에도 의심하지 않고 자신의 실수로 생각 할 수 있다

이렇게 수집이 된 피해자의 정보를 이용하여 유명 사이트나 목표로 한 사이트를 대상으로 로그인을 시도할 수 있다