SQL Injection, XSS, CSRF

• 삽입(Injection)

oSQL 삽입 공격 :

-SQL문이 결과적으로 참이 될 수 있다면 SQL삽입공격에 사용되는 SQL문은 무엇이라도 상관없음.

-이러한 SQL삽입 공격은 로그인 뿐만 아니라 웹에서 사용자의 입력값을 받아 데이터베이스에 SQL문으로 데이터를 요청하는 모든 곳에 가능.

-방어법 : 사용자가 입력창을 통해서 SQL문을 완성하여 데이터베이스에 전송할 때 이입력값중에 특수문자가 존재하는지 여부를 필터링하는 것.

 

• Cross-Site Scripting(XSS)

o웹 어플리케이션을 이용하여 다른 사용자에게 악성 코드를 보내는 데 사용

o대처방안 : 어플리케이션 차원에서 HTTP헤더, 쿠키, 쿼리 스트링, 폼필드, 히든 필드 등의 모든 인자들에 대해 허용된 유형의 데이터만을 허용하도록 한다.

• XSS(Cross-Site Scripting)

o웹 어플리케이션을 이용하여 다른 사용자에게 악성 코드를 보내는 데 사용

o대처방안 : 어플리케이션 차원에서 HTTP헤더, 쿠키, 쿼리 스트링, 폼필드, 히든 필드 등의 모든 인자들에 대해 허용된 유형의 데이터만을 허용하도록 한다.

• CSRF(Cross Site Request Forgery 크로스 사이트 요청 변조)

oXSS에서 변형된 것으로 Javascript를 사용할 수 없는 상태에서도 공격이 가능하다.

사이트에서 제공하는 기능을 피해자의 웹브라우저에서 요청시키도록 하는 공격이다. 공격자의 악성코드를 읽은 피해자는 요청을 서버로 보내게 되고, 서버는 피해자의 권한으로 요청에 대한 처리를 하게 된다.

oCSRF공격의 예

-댓글 자동달기, 자동 친구등록, 자동회원정보변경, 도토리 자동기부

o방어법

-XSS와 동일하며 웹 클라이언트로부터 전달되는 세션토큰의 여부를 확인해야 하며, 단순히 세션토큰만을 이용한 권한 부여를 금지해야 한다. 즉, 중요정보를 변경할 경우에는 eamil이나 sms와 같은 방법을 이용해 재인증을 요구해야 한다.