XSS, CSRF, SQL Injection 공격과 해결방법

XSS 공격 (Cross-site Scripting)

웹 상에서 가장 기초적인 취약점 공격 방법의 일종이다. 공격자가 다른 사용자가 보는 웹 페이지에 악성 스크립트를 삽입할 수 있는 일종의 보안 취약점이다. 이러한 스크립트는 피해자의 브라우저 컨텍스트에서 실행될 수 있으며 잠재적으로 공격자가 민감한 정보를 훔치거나 페이지 콘텐츠를 조작하거나 기타 악의적인 작업을 수행할 수 있다. 의도치 않은 행동을 수행시키거나 쿠키와 세션 토큰 등의 민감한 정보를 탈취하거나 하는 식이다.

방어하는 방법

입력 검증

클라이언트과 서버 측 모두에게 사용자 입력을 검증하고 삭제하여 예상되고 안전한 데이터만 허용되도록 한다.

출력 인코딩

사용자 생성 콘텐츠를 브라우저에서 렌더링하기 전에 인코딩한다. 이렇게 하면 브라우저가 콘텐츠를 실행 가능한 스크립트로 해석하지 못하게 된다.

콘텐츠 보안 정책(CSP)

웹 서버에 CSP 헤더를 구성하여 로드할 수 있는 리소스를 제어하고 XSS 공격의 영향을 완화한다.

CSRF 공격 (Cross-site request forgery attack)

CSRF란 공격자가 사용자의 브라우저를 속여 사용자가 인증된 웹 애플리케이션에 의도하지 않은 요청을 하도록 하는 공격이다. 이로 인해 피해자를 대신하여 승인되지 않은 작업이 수행될 수 있다. 

CSRF는 사용자 몰래 자금을 전송하거나 이메일 주소와 비밀번호를 변경하는 등의 무단 행위에 이용되며 관리자 계정이 CSRF 공격에 당하는 경우에는 공격자가 전체 서버 접근 권한을 탈취해 웹 애플리케이션과 API 등 서비스 전체를 마음대로 통제하게 될 위험이 있다.

예시

1. 공격자가 특정 은행의 계좌에서 공격자의 계좌로 천만원을 송금하라는 요청을 위조한다.

2. 위조한 요청은 하이퍼링크에 삽입되어 이메일로 전송되거나 웹사이트 자체에 삽입된다.

3. 사용자가 공격자가 생성한 이메일 하이퍼링크나 웹사이트 링크를 클릭하면 은행에 천만원을 송금하라는 요청이 전송된다.

4. 요청을 받은 은행 서버는 사용자의 요청대로 송금을 진행한다.

방어하는 방법

안티-CSRF 토큰 사용

웹 form 또는 AJAX 요청에 고유한 토큰을 포함한다. 요청이 합법적인지 확인하기 위해 서버에서 이러한 토큰의 유효성을 검사한다.

 SameSite 쿠키

쿠키의 SameSite 속성을 설정하여 크로스 사이트 요청에서 쿠키가 전송되는 것을 제한하여 CSRF 공격 위험을 최소화한다.

Referer 헤더 

Referer 헤더를 검증하여 요청이 동일한 도메인에서 발생하는지 확인한다. Referer은 HTTP 헤더에 있는 정보로 해당 요청이 요청된 페이지의 정보를 가지고 있다. 하지만 해당 정보는 프로그램으로 조작이 가능하기 때문에 권장되지 않는다.

 

SQL Injection 공격

SQL Injection 공격은 공격자가 입력 필드나 매개변수에 악성 SQL 코드를 주입하여 데이터베이스 쿼리를 조작하는 공격유형이다. 이로 인해 무단 액세스, 데이터 조작 및 잠재적인 데이터 침해가 발생할 수 있다.

방어하는 방법

매개변수화된 문/준비된 문 사용

매개변수화된 쿼리 또는 준비된 문을 사용하면 사용자 입력이 실행 가능한 코드가 아닌 데이터로 처리되어 SQL 주입을 방지할 수 있다.

입력 검증

사용자 입력을 검증하고 삭제하여 예상 형식, 길이 및 문자 집합을 준수하는지 확인한다.

최소 권한 원칙

데이터베이스 사용자에게 필요한 최소 권한이 있는지 확인한다.

 

	공통점	차이점			목적
XSS	사용자의 브라우저를 대상으로 함	인증된 세션 없이도 공격 진행할 수 있음	사용자가 특정 사이트를 신뢰한다는 사실 이용	사용자에서 스크립트 실행	사용자 PC에서 스크립트를 실행해 사용자의 정보 탈취
CSRF		사용자의 인증된 세션을 악용	웹 애플리케이션이 인증된 사용자의 요청을 신뢰한다는 사실 이용	서버에서 스크립트 실행	요청을 위조함으로써 사용자 몰래 송금과 제품 구입 등 특정 행위를 수행하는 것

 

 

https://nordvpn.com/ko/blog/csrf/