R's Hacking Daily Log

CSRF Defenses (server side) CSRF 공격은 공격자가 사이트를 거쳐 "서버에 있는 데이터를 조작하거나 정보를 빼오는 등의 형태"라는 걸 알아보았다. 그렇다면 CSRF 공격을 막기 위해선 어떤 방법이 있을지 살펴보자. (* server side = CSRF Defense는 서버에 의해 실행된다.) :: CSRF Tokens 사용자가 로그인 페이지에 접근할 때마다 서버는 CSRF token을 만들어 응답과 같이 보낸다. CSRF token을 받은 사용자는 자신의 로그인 정보를 입력한 form을 제출할 때 이 토큰을 함께 보내야 한다. 만약 CSRF token이 서버가 만든 값과 일치하지 않으면 사용자의 요청을 처리해주지 않으며 Session token과 달리 CSRF token은 req..