서버·DB·보안
CSRF란? 개념부터 방어까지 쉽게 정리
웹 보안을 배울 때 CSRF를 XSS나 세션 탈취와 한묶음으로 혼동하기 쉽습니다. 이름도 낯설고, 악성 스크립트 실행·인증정보 탈취와 '이미 로그인한 브라우저를 시켜 요청만 위조하는' 메커니즘이 겉보기에 비슷해 보이기 때문입니다.이 글에서는 CSRF가 성립하는 조건과 공격 흐름을 정리하고, CSRF 토큰과 SameSite 쿠키가 각각 무엇을 막는지까지 순서대로 살펴봅니다.목차CSRF란 무엇인가 - 세션 탈취와의 차이CSRF 공격이 성립하는 세 가지 조건실제 CSRF 공격은 어떻게 일어날까CSRF와 XSS는 어떻게 다른가CSRF 방어법 1 - CSRF 토큰CSRF 방어법 2 - SameSite 쿠키토큰과 SameSite, 지금도 둘 다 필요할까자주 묻는 질문정리하며1. CSRF란 무엇인가 - 세션 탈취와의..
'XSS' 태그의 글 목록
서버·DB·보안
CSRF란? 개념부터 방어까지 쉽게 정리
웹 보안을 배울 때 CSRF를 XSS나 세션 탈취와 한묶음으로 혼동하기 쉽습니다. 이름도 낯설고, 악성 스크립트 실행·인증정보 탈취와 '이미 로그인한 브라우저를 시켜 요청만 위조하는' 메커니즘이 겉보기에 비슷해 보이기 때문입니다.이 글에서는 CSRF가 성립하는 조건과 공격 흐름을 정리하고, CSRF 토큰과 SameSite 쿠키가 각각 무엇을 막는지까지 순서대로 살펴봅니다.목차CSRF란 무엇인가 - 세션 탈취와의 차이CSRF 공격이 성립하는 세 가지 조건실제 CSRF 공격은 어떻게 일어날까CSRF와 XSS는 어떻게 다른가CSRF 방어법 1 - CSRF 토큰CSRF 방어법 2 - SameSite 쿠키토큰과 SameSite, 지금도 둘 다 필요할까자주 묻는 질문정리하며1. CSRF란 무엇인가 - 세션 탈취와의..
서버·DB·보안
WAF(웹방화벽) 뜻 쉽게 설명해드림! 우리 회사 협업툴이 해킹당하지 않는 진짜 이유
WAF(웹방화벽)는 웹 요청의 내용까지 읽어 SQL 인젝션 같은 공격을 걸러내는 L7 방화벽입니다. 협업툴이 해킹당하지 않는 이유를 WAF 하나로 설명하기 쉽지만, 실제로는 열어 둔 443 포트로 들어오는 공격 문자열을 앞단에서 걸러 주는 한 겹의 방어이고, 권한 검사 같은 나머지 몫은 애플리케이션 코드가 맡습니다.이 글에서는 일반 네트워크 방화벽과 WAF가 보는 범위의 차이, 오픈소스 ModSecurity와 OWASP CRS로 제가 직접 측정한 차단 결과와 점수 계산, 협업툴에서 자주 생기는 오탐과 예외 규칙, 그리고 WAF가 막지 못하는 공격을 차례로 다룹니다. 방화벽이라는 이름이 어디서 왔는지는 방화벽 뜻과 유래 글에서 따로 정리했습니다.목차WAF(웹방화벽)의 뜻과 협업툴 앞단에 두는 이유일반 네트..