알고 계신 웹 보안 공격기술에 대해서 설명해주세요. (CSRF & XSS & SQL Injection ...)

[Seobway23]

CSRF, XSS를 알고 있습니다.

CSRF

CSRF는 Cross Site Request Forgery의 약자로, 사이트 간의 요청을 조작하는 것을 말합니다.

예방법

• CSRF 토큰을 사용해 클라이언트에 전송합니다.
• Referer 헤더를 검증해 요청이 신뢰할 수 있는지 확인합니다.

XSS

XSS는 Cross Site Scripting으로 input 태그와 같이 웹 브라우저에 악의적인 스크립트를 주입하고 실행시킬 수 있게 하는 공격 기법입니다.

예방법

• 출력 인코딩을 통해 명령에 쓰이는 스크립트 명령문을 문자어로 대체합니다.
• CSP(Content Security Policy)를 통해 외부 스크립트의 실행을 제한하거나, 오직 신뢰할 수 있는 도메인의 스크립트만 실행하도록 설정합니다.

[kimmainsain]

답변

XSS

• XSS는, 권한이 없는 사용자가 웹 사이트에 스크립트를 삽입시켜 사용자의 정보를 탈취하거나 비정상적인 기능을 실행하는 공격 기법입니다.
• 이에 대응하기 위해
• 스크립트 실행에 대한 조건을 설정(CSP)해 알 수 없는 스크립트가 실행되는 것을 예방할 수 있습니다.
• 보안 라이브러리를 활용하거나, HTTPS를 도입하는 방법이 있습니다.

SQL Injection

• SQL Injection은, 특정 SQL 쿼리문을 전송하여 데이터베이스를 비정상적으로 조작하는 공격입니다.
• 이에 대응하기 위해선, 입력값에 대해 예외처리를 통해 검증하는 방법이 있습니다.

CSRF

• 사용자가 피싱 사이트에 접속하여 돈을 보내는 상황과 같이, 사용자가 의도하지 않은 행위를 하게 하는 공격 방법입니다.
• 이에 대응하기 위해, CSRF 토큰을 활용해 공격자가 예상할 수 없는 파라미터를 추가하여 검증하는 방법이 있습니다.

[SunheeYoon96]

답변

SQL Injection

• 악의적인 사용자가 임의의 SQL 문을 주입하고 실행되게 하여 데이터베이스가 비정상적인 동작을 하도록 조작하는 행위입니다.
• 비교적 쉬운 공격으로 큰 피해를 입힐 수 있는 보안 공격기술입니다.
• 대응방법1) 입력 값에 대한 검증 로직을 구현하여 사전에 정의된 특수 문자들이 입력되지 않도록
• 대응방법2) Prepared Statement 구문을 사용하여 입력 값에 들어가는 데이터는 쿼리가 아닌 단순히 문자열로 처리되도록

XSS (Cross-Site Scription)

• 권한이 없는 사용자가 악의적인 용도로 웹 사이트에 스크립트를 삽입하는 공격 기법입니다.
• 대응방법1) 입력값을 제한하여 스크립트를 작성할 수 없도록
• 대응방법2) 입력값을 치환하여 태그값들을 필터링한다.
• 대응방법3) 보안 라이브러리 활용

[freakFlow]

답변

DDos - 수많은 PC들을 이용해 서버에 많은 트래픽을 보내 과부하가 걸리게 한다. 서버는 느려지거나 다운될 수 도 았다. 막기 위해서는 서버가 다운되지 않고 충분한 트래픽을 견딜 수 있도록 확장이 유연하게 분산 시스템을 설계. 서비스 지역외의 IP를 미리 막는 등의 방법을 사용할 수 있다. Dictionary Attack - 미리 데이터베이스에 가지고 있는 문자열들을 대입해보는 공격으로 브루트포스 공격의 일종이다. 막기 위해서는 간단한 비밀번호를 등록하지 못하게 막고, 특정 횟수 이상의 시도는 막아놓거나 OTP같은 2차 인증을 통해서 막을 수 있다.