본론으로 돌아와서, 만약 여러분 모르게 여러분이 서명한 백지 수표가 사용되고 있으면 어떻게 될까요? 아무리 부자라도 통장이 텅장이 되는 것은 한 순간이겠죠...😭

자신도 모르는 사이 서명이 도용될 수 있는 공격을 CSRF(Cross Site Request Forgery)! 오늘 해킹 알려줄게에서 알아보겠습니다.

CSRF가 뭘까?

CSRF는 Cross Site Request Forgery의 줄임말입니다. 교차 사이트 요청 위조라는 뜻을 가지고 있는데요. 사용자의 의도와 무관한 요청을 공격자가 사용자의 권한으로 특정 웹사이트에 보내게 만드는 공격입니다.

무관한 요청을 웹사이트로 보낸다구요? 예시가 필요해요!

조금 풀어서 예시와 함께 설명해 볼게요! 네이버 카페에 글쓰는 상황을 예시로 들어 보겠습니다. 위에서 말하는 권한이란 무엇일까요? 권한은 로그인 했을 때 특정 사용자임을 증명해주는 것을 말합니다. 즉, 로그인을 하게되면 사용자가 카페에 글을 쓸 권한을 얻게 된다고 말할 수 있겠죠.

그럼 요청은 무엇을 말할까요? 사용자가 글을 쓰는 것이 요청에 해당합니다. 여기서 우리가 글을 작성했는데 누군가가 조작해 작성한 글과 전혀 다른 악성 광고 글이 올라간다면 무관한 요청을 보낸 것이 되겠네요! 😉

음...잠깐! 근데 요청 위조는 어떻게 하는 것일까요?

CSRF 공격을 위해서는 2가지 조건이 충족되어야 하는데요.두 조건은 아래와 같습니다

첫 번째 조건을 생각해보면 “누가 로그인을 하고 악성 스크립트를 실행시켜~!”라고 생각할 수도 있겠지만 자동 로그인과 같은 기능을 생각해보면 그리 어려운 조건이 아님을 알 수 있어요. 🥲

그렇다면 악성 스크립트는 어떻게 실행시킬까요?

CSRF 공격을 위해서 공격자는 주로 사용자에게 악성 스크립트가 포함된 피싱 사이트를 접속하도록 유도하는데요. 특정 웹 사이트에서 상품과 함께 진행되는 이벤트처럼 꾸며 사용자가 악성 스크립트를 실행시키도록 유도한다고 해요!