PHP가 CSRF 공격을 방어하는 방법

PHP를 사용하여 CSRF(교차 사이트 요청 위조) 공격을 방어하는 방법

웹 애플리케이션의 발전과 인기로 인해 네트워크 보안 문제가 점점 더 중요해지고 있습니다. CSRF(교차 사이트 요청 위조) 공격은 일반적인 공격 방법 중 하나가 되었습니다. CSRF 공격은 공격자가 사용자가 인지하지 못하는 사이에 돈 이체, 비밀번호 변경 등 합법적인 사용자의 요청을 가장하여 일부 악의적인 작업을 수행하는 것을 말합니다. 사용자와 웹 애플리케이션을 보호하려면 개발자는 이러한 공격을 방어하기 위한 조치를 취해야 합니다. 이 기사에서는 PHP를 사용하여 CSRF 공격을 방어하는 방법을 소개합니다.

1. CSRF 공격의 원리를 이해하세요
   CSRF 공격을 방어하기 전에 공격의 원리를 이해해야 합니다. CSRF 공격의 원리는 사용자가 다른 웹사이트나 웹 애플리케이션에 로그인한 후 쿠키 정보를 이용하여 악의적인 요청을 합법적인 요청으로 위장하고 이를 대상 웹사이트나 애플리케이션으로 보내는 것입니다. 따라서 CSRF 공격을 위해서는 대상 웹사이트의 사용자가 인증을 통과한 합법적인 사용자여야 합니다.
2. 토큰 생성 및 확인
   CSRF 공격을 방어하기 위해 토큰을 사용하여 요청의 정당성을 확인할 수 있습니다. 토큰은 사용자 세션과 연결되어 있고 서버 측에 저장되는 무작위로 생성된 문자열입니다. 각 양식에는 토큰 값이 포함된 숨겨진 필드를 추가합니다. 사용자가 양식을 제출하면 토큰 값이 서버 측에 저장된 값과 일치하는지 확인해야 합니다. 일치하지 않는 경우 해당 요청은 불법이며 당사는 해당 요청을 종료하거나 기타 필요한 처리를 수행할 수 있습니다.

다음은 토큰을 사용하는 샘플 코드입니다.

// 生成令牌
function generateToken() {
    $token = bin2hex(random_bytes(32));
    $_SESSION['csrf_token'] = $token;
    return $token;
}

// 验证令牌
function verifyToken($token) {
    if(isset($_SESSION['csrf_token']) && $_SESSION['csrf_token'] === $token) {
        return true;
    }
    return false;
}

// 在表单中添加令牌字段
function addTokenField() {
    $token = generateToken();
    echo '<input type="hidden" name="csrf_token" value="'.$token.'">';
}

3. 요청 소스 확인
   공격자가 다른 수단을 통해 토큰을 얻을 수 있으므로 토큰만 확인하는 것만으로는 충분하지 않습니다. 보안을 강화하기 위해 요청의 출처를 확인할 수도 있습니다. 요청 소스를 확인하는 방법에는 두 가지가 있습니다. 하나는 Referer 헤더를 확인하는 것이고, 다른 하나는 Origin 헤더를 확인하는 것입니다.

Referer 헤더 확인을 위한 샘플 코드:

function verifyReferer() {
    if(isset($_SERVER['HTTP_REFERER']) && strpos($_SERVER['HTTP_REFERER'], $_SERVER['HTTP_HOST']) !== false) {
        return true;
    }
    return false;
}

Origin 헤더 확인을 위한 샘플 코드:

function verifyOrigin() {
    if(isset($_SERVER['HTTP_ORIGIN']) && $_SERVER['HTTP_ORIGIN'] === 'https://www.example.com') {
        return true;
    }
    return false;
}

4. 쿠키 속성을 적절하게 설정하세요.
   보안을 강화하기 위해 다음의 속성을 설정하여 CSRF 공격의 난이도를 높일 수 있습니다. 쿠키. 예를 들어, HTTPS 연결에서만 쿠키가 전송되도록 설정하고, 쿠키 범위를 현재 도메인 이름으로만 제한하는 등의 작업을 할 수 있습니다.

쿠키 속성 설정을 위한 샘플 코드:

session_set_cookie_params([
    'lifetime' => 86400, // Cookie的有效期为一天
    'path' => '/',
    'domain' => '.example.com',
    'secure' => true, // 仅在HTTPS连接下传输
    'httponly' => true // 仅通过HTTP协议访问
]);
session_start();

5. 로그인 및 로그아웃 보안에 주의하세요
   로그인 및 로그아웃은 웹 애플리케이션에서 매우 중요한 작업이며 보안에도 특별한 주의가 필요합니다. 로그인 및 로그아웃 프로세스를 올바르게 처리하면 CSRF 공격을 효과적으로 방어할 수 있습니다.

로그인 프로세스 중에 로그인 토큰을 생성하여 서버 측과 세션에 저장할 수 있습니다. 각 로그인 요청에서 토큰이 로그인 프로세스를 통해서만 얻을 수 있는지 확인하기 위해 토큰의 유효성을 확인해야 합니다.

로그아웃 과정에서 사용자와 관련된 세션 데이터를 파기하고 세션 ID를 삭제해야 합니다. 이렇게 하면 공격자가 사용자를 가장하기 위해 세션 ID를 훔치는 것을 방지할 수 있습니다.

요약:
CSRF 공격은 일반적인 네트워크 보안 문제이지만 이 공격을 방어하기 위해 취할 수 있는 몇 가지 조치가 있습니다. 이 기사에서는 토큰 생성 및 확인, 요청 소스 확인, 쿠키 속성 설정, 로그인 및 로그아웃 보안 주의 등 CSRF 공격을 방어하기 위해 PHP를 사용하는 몇 가지 방법을 소개합니다. 이러한 방법을 결합하여 사용하면 웹 애플리케이션과 사용자의 보안을 효과적으로 보호할 수 있습니다.

위 내용은 PHP가 CSRF 공격을 방어하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!