XSS와 CSRF 차이점
XSS와 CSRF의 차이점
오늘은 헷갈리기 쉬운 XSS와 CSRF의 차이점을 보도록 하겠습니다.
차이점을 설명하기에 앞서 XSS, CSRF가 뭔지 설명을 하면서 시작하곘습니다.
XSS(CSS) 크로스사이트 스크립트 란
OWASP top 10 의 항목에도 들어가있을 정도로 웹어플리케이션의 취약점입니다.
XSS에도 공격하는 방식에따라 여럿 이름이 붙혀지는데 보통 XSS라고하면 Stored XSS(저장형 XSS)라고 암묵적으로 통용(?) 됩니다.
1) 공격자는 홈페이지를 통해 웹서버에 악성 스크립트가 포함된 게시물을 등록합니다
2) 웹서버는 이를 DB서버에 저장합니다
3) User는 공격자가 올린 악성스크립트를 포함한 게시글을 읽습니다
4) 이때 악성스크립트가 User PC에서 실행이되면서 각종 정보등이 공격자에게로 넘어갑니다
- 사용자 입력값에 대한 필터링이 제대로 이뤄지지 않을경우 공격자는 입력가능한 폼 ex)게시판 등에 악의적인 스크립트를 삽입하여 해당 스크립트가 희생자 PC에서 실행되는 취약점을 말합니다
- 공격자는 이런 공격을 통해 사용자의 개인정보, 세션쿠키정보, 악성코드 다운로드 등을 이용해 공격을 수행합니다
CSRF(크로스사이트 요청 변조)란?
얘도 OWASP top10의 취약점 중 하나이며 웹어플리케이션에서 중요 취약점 중 하나입니다.
XSS와 가장 큰 차이점은 스크립트가 실행되는 곳이 user 가 아니라 서버에서 실행 된다는 것입니다
1) 조작된 악성스크립트 정보를 담고있는 게시물을 등록합니다
2) 게시물은 DB서버에 저장됩니다
3) user는 게시판에 게시글을 클릭합니다
4) 웹서버에서 희새자의 권한의 조작된 요청내용이 처리되며 user로 응답합니다
- 웹 어플리케이션에서 정상적인 경로를 통한 요청과, 비정상적인 경로를 통한 요청을 서버가 구분하지 못할 경우 악의적인 스크립트를 이용해 조작된 요청정보를 전송하도록 하는 공격
ex)비밀번호 변경 등..
차이점 이것만 기억하시면 됩니다!!
XSS와 CSRF의 가장 큰 차이점은 공격이 실행되는 위치입니다.
XSS는 희생자 클라이언트 PC에서 실행되며 사용자의 정보를 탈취하는 것이고, CSRF는 위조된 요청을 서버에 보내어 서버단에서 스크립트가 실행됩니다.
★☆피드백은 언제나 환영입니다☆★