CSRF 공격 방어 전략 및 구현 방법

CSRF 공격 방어 전략 및 구현 방법

네트워크 기술이 지속적으로 발전함에 따라 네트워크 보안 위험도 증가하고 있습니다. CSRF(교차 사이트 요청 위조) 공격은 현재 인터넷 애플리케이션이 직면한 주요 위협 중 하나가 되었습니다. 본 글에서는 CSRF 공격의 기본 원리와 일반적으로 사용되는 방어 방법을 소개하고 관련 코드 예제를 통해 구현 방법을 자세히 설명합니다.

1. CSRF 공격 원칙

CSRF 공격은 사용자의 인증된 세션을 사용하여 악의적인 작업을 수행합니다. 공격자는 사용자가 악성 링크를 클릭하거나 악성 웹사이트를 방문하도록 유도하여 피해자가 모르는 사이에 위조된 요청을 보내게 합니다. 사용자가 신뢰할 수 있는 웹사이트에 로그인하고 성공적으로 인증되면 요청을 보낼 때 브라우저가 자동으로 해당 ID 자격 증명을 전달하므로 공격자가 사용자를 가장하여 악의적인 작업을 수행하도록 요청을 보낼 수 있습니다.

2. 방어 전략

(1) 동일 출처 탐지

원본 출처 탐지는 CSRF 공격을 방어하는 일반적인 수단 중 하나이며 요청의 소스 주소와 대상 주소가 속하는지 비교하여 요청의 정당성을 결정합니다. . 서버측에서 확인을 진행하며 원본 도메인명과 대상 도메인명이 일치하지 않는 경우 요청을 거부합니다.

샘플 코드:

@RequestMapping("/transfer")
public String transferMoney(HttpServletRequest request) {
    String origin = request.getHeader("Referer");
    String target = request.getServerName();
    
    if(!origin.equals(target)) {
        return "Illegal Request";
    }
    
    // 业务逻辑处理...
    return "Transfer Successful";
}

(2) CSRF 토큰 추가

CSRF 토큰 추가도 일반적으로 사용되는 방어 방법 중 하나입니다. 서버가 HTML 페이지를 반환하면 고유한 토큰을 생성하여 양식에 포함하거나 클라이언트에 쿠키로 보냅니다. 양식이 제출되면 토큰이 서버로 전송됩니다. 서버는 토큰이 일치하는지 확인하고 일치하지 않으면 요청을 거부합니다.

샘플 코드:

@RequestMapping("/transfer")
public String transferMoney(HttpServletRequest request, 
        @RequestParam("csrfToken") String csrfToken) {
    
    HttpSession session = request.getSession();
    String storedToken = (String) session.getAttribute("csrfToken");
    
    if (!csrfToken.equals(storedToken)) {
        return "Invalid Token";
    }
    
    // 业务逻辑处理...
    return "Transfer Successful";
}

(3) 동기 및 비동기 요청

비동기 요청은 AJAX와 같은 기술을 사용하여 페이지를 새로 고치지 않고 서버에 요청을 보내므로 CSRF 공격을 예방하기가 어렵습니다. 따라서 민감한 작업과 관련된 요청의 경우 서버와 보다 안정적인 세션을 설정할 수 있도록 동기 요청을 사용하는 것이 가장 좋습니다.

3. 구현 방법

(1) 요청 소스 확인 및 동일 출처 감지 추가

백엔드 서비스에서는 요청 헤더의 Referer 필드를 획득하여 백그라운드를 기반으로 해당 요청이 적법한지 판단합니다. 논리. 요청 소스가 대상과 일치하지 않으면 요청이 거부됩니다.

샘플 코드:

@RequestMapping("/transfer")
public String transferMoney(HttpServletRequest request) {
    String origin = request.getHeader("Referer");
    String target = request.getServerName();
    
    if(!origin.equals(target)) {
        return "Illegal Request";
    }
    
    // 业务逻辑处理...
    return "Transfer Successful";
}

(2) CSRF 토큰 추가

HTML 페이지를 프런트 엔드로 보낼 때 고유한 토큰을 생성하여 양식에 포함하거나 클라이언트에 쿠키로 보냅니다. 프런트 엔드가 요청을 제출하면 서버에 토큰이 전송되고, 서버는 토큰이 일치하는지 확인하여 요청의 적법성을 결정합니다.

샘플 코드:

@RequestMapping("/transfer")
public String transferMoney(HttpServletRequest request, 
        @RequestParam("csrfToken") String csrfToken) {
    
    HttpSession session = request.getSession();
    String storedToken = (String) session.getAttribute("csrfToken");
    
    if (!csrfToken.equals(storedToken)) {
        return "Invalid Token";
    }
    
    // 业务逻辑处理...
    return "Transfer Successful";
}

4. 요약

CSRF 공격은 일반적이고 유해한 공격 방법이지만 몇 가지 효과적인 방어 전략을 통해 애플리케이션의 보안을 향상할 수 있습니다. 이 기사에서는 두 가지 일반적인 방어 방법, 즉 출처 감지와 CSRF 토큰 추가를 소개하고 구현 방법에 대한 샘플 코드도 제공합니다. 애플리케이션을 개발할 때 특정 상황에 따라 적절한 방어 전략을 선택하고 이를 올바르게 구현하여 사용자 데이터의 보안을 보장해야 합니다.

위 내용은 CSRF 공격 방어 전략 및 구현 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!