CSRF(Cross-Site Request Forgery) 공격에 관한… | [경찰간부후보생 시스템네트워크보안] 23년 1회차 기출문제 상세 페이지
1[경찰간부후보생 시스템네트워크보안] 23년 1회차
CSRF(Cross-Site Request Forgery) 공격에 관한 설명 중 가장 적절하지 않은 것은?
1
HTTP GET과 HTTP POST 서비스의 차이에 따라 CSRF 공격 방법도 차이가 있다.
2
피해자가 타겟 웹 사이트로 전송되는 사이트 간 요청을 위조할 수 있는 악성 웹 페이지를 방문하여야 한다.
3
CSRF 공격이 성공하기 위해서는 피해자가 악성 웹 페이지 방문 후 타겟 웹 사이트와 세션을 확립하여야 한다.
4
일반적인 대응책은 HTTP 요청이 자체 웹 페이지에서 오는지 아니면 제3자의 웹 페이지에서 오는지 구별하는데 도움이 되는 비밀 토큰 등을 이용하는 것이다.
해설
CSRF가 성공하려면 피해자가 악성 페이지를 방문하기 전에 이미 타겟 사이트에 로그인해 세션이 살아 있어야 하므로, 방문 후 세션을 확립한다는 설명이 옳지 않다.
CSRF는 브라우저가 타겟 사이트로 요청할 때 기존 세션 쿠키를 자동 첨부하는 점을 악용해, 피해자 권한으로 위조 요청을 실행시킨다.
- GET은 이미지 태그 등으로, POST는 자동 제출 폼 등으로 위조해 방법이 달라진다는 설명은 옳다.
- 피해자가 위조 요청을 발생시키는 악성 페이지를 방문해야 한다는 설명은 옳다.
- 요청 출처를 구별하는 비밀(CSRF) 토큰을 쓰는 것이 일반적 대응책이라는 설명은 옳다.
오류나 개정된 내용이 보이면 알려주세요