주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세가이드 - 웹보안
15. 크로스사이트 리퀘스트 변조(CSRF)
CSRF란?
사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 공격 유형이다.
(이메일 변경, 비밀번호 변경, 돈 송금 등의 행위)
1. 공격자가 악성 스크립트가 포함된 게시물을 등록하고,
2. 사용자가 해당 스크립트를 열람하여
3. 게시물에 응답하면 (이메일 주소 변경등의 행위)
4. 해당 스크립트를 위 사용자 권한으로 실행하여 공격자의 의도대로 웹사이트에 요청
자세한설명 -> https://hi-sojeong.tistory.com/36
Cross Site Request Forgery : CSRF 정리
CSRF(Cross Site Request Forgery) 이용자를 속여서, 의도치 않은 요청에 동의하게 하는 공격이다. ex) 웹 페이지를 만들어 이용자의 입력을 유도해, 입력된 값을 은행 등의 사이트로 전송해 이용자가 동의
hi-sojeong.tistory.com
취약점 분석
| 취약점 개요 | |
| 점검내용 | - 사용자의 신뢰 정보의 변조 여부 점검 |
| 점검목적 | - 사용자 입력 값에 대한 적절한 필터링 및 인증에 대한 유효성을 검증하여 신뢰 정보 내의 요청에 대한 변조 방지 |
| 보안위협 | - 사용자의 신뢰정보 내에서 사용자의 요청을 변조함으로써 해당 사용자의 권한으로 악의적인 공격을 수행할 수 있음 |
| 점검대상 및 판단기준 | |
| 대상 | - 웹 애플리케이션 소스코드, 웹 방화벽 |
| 판단기준 | - 양호: 사용자 입력 값에 대한 검증 및 필터링이 이루어지는 경우 |
| - 취약: 사용자 입력 값에 대한 필터링이 이루어지지 않으며, 스크립트를 입력하여 실행되는 경우 | |
| 조치방법 | - 사용자 입력 값에 대해 검증 로직 및 필터링 추가 적용 |
점검 및 조치 사례
1. XSS 취약점이 존재하는지 확인
사용자 입력 값을 전달받는 애플리케이션(회원정보 변경, 게시판, 댓글, 자료실 등)에 스크립트 입력 후 실행되는지 확인
2. 등록 및 변경 등의 데이터 수정 기능의 페이지가 있는지 조사
3. 데이터 수정 페이지에서 전송되는 요청 정보를 분석하여 임의의 명령을 수행하는 스크립트 삽입 후 해당 게시글을 타 사용자가 열람하였을 경우 스크립트가 실행되는지 확인
보안설정방법
- 웹 사이트에 사용자 입력 값이 저장되는 페이지는 요청이 일회성이 될 수 있도록 설계
- 사용 중인 프레임워크에 기본적으로 제공되는 CSRF 보호 기능 사용
- 사용자가 정상적인 프로세스르르 통해 요청하였는지 HTTP 헤더의 Referer 검증 로직 구현
※ Referer: 이전 웹 페이지의 주소
- 정상적인 요청과 비정상적인 요청을 구분할 수 있도록 Hidden Form을 사용하여 임의의 암호화된 토큰(세션 ID, Timestamp, nonce)을 추가하고 이 토큰을 검증하도록 설계
- HTML이나 자바스크립트에 해당되는 태그 사용을 사전에 제한하고, 서버 단에서 사용자 입력 값에 대한 필터링 구현
- HTML Editor 사용으로 인한 상기사항 조치 불가 시, 서버 사이드/서블릿/DAO 영역에서 조치하도록 설계
- XSS 조치 방안 참조
참고
주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세가이드 p.684-p.685
