MVC에서 AntiForgeryToken을 사용한 CSRF 공격 방어
ASP.NET MVC는 웹 애플리케이션에서 크로스사이트 요청 위조(CSRF) 공격을 방지하기 위해 Html.AntiForgeryToken() 메서드를 제공합니다. 이 기능은 사용자 인증 상태를 악용하는 공격을 차단하며, 단순히 스크립트 삽입을 이용하는 XSS와는 목적과 방식이 다릅니다.
기본 문제 상황
예를 들어, 홈페이지에 공지를 입력하는 폼이 있다고 가정합시다. 기본적 ...
8월 3일 14:40에 게시됨
PHP 웹 애플리케이션 파일 포함 취약점 심층 분석
파일 포함 취약점 개요
파일 포함(File Inclusion) 취약점은 웹 애플리케이션이 사용자 입력에 따라 서버의 파일을 동적으로 불러오거나 실행할 때 발생합니다. 공격자는 이 취약점을 이용해 서버의 민감한 파일을 읽거나, 원격 파일을 포함하여 악성 코드를 실행할 수 있습니다. 이는 웹 서버 및 시스템 전반에 심각한 보안 위협을 초래할 수 있습니다.
민감한 파일 정보 ...
7월 18일 19:52에 게시됨
HKCERT 2024 웹 보안 챌린지 취약점 분석 및 솔루션
1. 클라이언트 사이드 시크릿 노출을 이용한 점수 위조 (New Free Lunch)
블랙박스 환경의 웹 애플리케이션으로, 프론트엔드 자바스크립트 소스 코드를 분석하여 하드코딩된 시크릿 키를 찾아내어 SHA-256 서명을 위조하는 방식의 취약점이다. 로그인 및 회원가입 기능에는 특별한 인젝션이나 우회 요소가 없었으나, 점수 제출 로직에서 보안상의 결함이 발견되었다.
게임 ...
7월 9일 03:26에 게시됨
Django에서 CSRF 공격 이해 및 방어 전략
CSRF 공격의 개념
CSRF(Cross-Site Request Forgery)는 사용자가 모르는 사이에 악의적인 요청을 대신 전송하도록 유도하는 공격 기법입니다. XSS(Cross-Site Scripting)와는 달리, CSRF는 브라우저에 저장된 인증 정보를 활용하여 신뢰받는 사용자의 권한으로 작업을 수행합니다.
공격자는 사용자의 브라우저를 "대리인"으로 삼아, 이메일 발송, 계정 정보 변경, 금융 거 ...
6월 27일 05:07에 게시됨
WebSocket 기반 회전 각도 조작을 통한 플래그 획득
문제 개요
이 문제는 WebSocket을 통해 클라이언트의 마우스 움직임을 서버에 전송하고, 특정 조건을 만족할 때 플래그를 반환하는 방식으로 구성되어 있다. 사용자가 중심점을 기준으로 마우스를 일정 각도 이상 회전하면 누적 각도가 계산되고, 전체 회전 수가 9999번 이상일 경우 플래그가 노출된다.
백엔드 로직 분석
서버는 Node.js 기반으로 ws 라이브러리를 사용해 ...
6월 1일 18:24에 게시됨
DOM 기반 XSS 취약점 5가지 유형 분석 및 페이로드 우회 기법
HTML 구조와 자바스크립트 동작을 분석하여 DOM 기반 크로스 사이트 스크립팅(DOM XSS) 취약점을 탐지하고 페이로드를 구성하는 과정을 다룹니다. 아래에서는 다섯 가지 서로 다른 필터링 및 실행 컨텍스트에 대한 취약점 분석과 우회 방안을 코드와 함께 설명합니다.
1. URL 파라미터를 통한 innerHTML 직접 주입
첫 번째 시나리오는 URL의 쿼리 스트링을 읽어 DOM 요소 ...
5월 28일 06:34에 게시됨
Spring Security를 활용한 웹 보안 강화: CSRF, CORS, CSP 전략
CSRF 공격 방어 메커니즘
사이트 간 요청 위조(CSRF)는 인증된 사용자의 세션을 악용해 무단 작업을 수행하려는 공격 기법이다. 예를 들어 사용자가 로그인 상태일 때 악성 사이트에서 의도하지 않은 송금이나 설정 변경 요청이 자동으로 전송될 수 있다. 이를 막기 위해선 요청의 진위를 검증하는 추가적인 보안 계층이 필요하다.
CSRF 원리와 대응 방안
공격은 다음과 ...
5월 22일 11:19에 게시됨