CSRF(사이트 간 요청 위조)
이미 로그인해둔 사용자가 자신도 모르는 사이, 공격자가 의도한 요청(예: 비밀번호 변경, 송금)을 정상 사이트에 대신 보내도록 속이는 웹 보안 취약점입니다.
한눈에 보는 정의
CSRF(Cross-Site Request Forgery, 사이트 간 요청 위조)는 이미 로그인해둔 사용자가 자신도 모르는 사이, 공격자가 의도한 요청을 정상 사이트에 대신 보내도록 속이는 웹 보안 취약점입니다.
자세히 알아보기
- 예문: "은행 사이트에 로그인한 상태에서 악성 링크를 클릭했더니, 본인도 모르게 송금 요청이 전송된 것이 CSRF 공격이다."
- 공격자가 직접 사용자의 로그인 정보를 훔치지 않고도, 사용자의 브라우저에 남아 있는 로그인 상태(세션·쿠키)를 이용해 공격자가 원하는 요청을 대신 실행시킨다는 점이 특징입니다.
- 악성 스크립트를 직접 실행시키는 XSS(크로스 사이트 스크립팅) (XSS)와 달리, CSRF는 사용자가 이미 로그인한 정상 세션을 '빌려서' 원치 않는 요청을 보내게 만드는 방식입니다.
- 요청마다 예측할 수 없는 별도의 검증 토큰(CSRF 토큰)을 발급해 확인하는 방식이 대표적인 방어 수단으로 쓰입니다.