🎭 XSRF or CSRF (사이트 간 요청 위조)

그 유명한 바이러스 메일, 해킹 메일, 사이트의 대표적인 공격 방법이다. 클라이언트가 인증된 상태일 때 어떠한 방식이든 공격 코드를 실행하게 만들어서 민감한 정보를 조작하게 만든다.

사이트 간 요청 위조(또는 크로스 사이트 요청 위조, 영어: Cross-site request forgery, CSRF, XSRF)는 웹사이트 취약점 공격의 하나로, 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위(수정, 삭제, 등록 등)를 특정 웹사이트에 요청하게 하는 공격을 말한다.유명 경매 사이트인 옥션에서 발생한 개인정보 유출 사건에서 사용된 공격 방식 중 하나다.

만일, A라는 사이트의 사용자 개인 비밀번호 변경을 하는 주소 패턴이 abc.com/user.do?cmd=user_passwd_change&user=admin&newPwd=1234 라고 한다면 이러한 링크를 사용자의 메일로 보내는데, 만약 사용자가 메일을 읽게 되면 해당 사용자의 패스워드가 1234로 초기화된다. 이를 관리자에게 보내서 일반 계정을 관리자 계정으로 바꾸도록 하거나, 관리자 계정 패스워드를 바꾸는데 이용한다면 해당 사이트의 모든 정보가 해킹당하는 데는 오랜 시간이 걸리지 않는다.

😈 XSRF 공격 전략

<img src="http://auction.com/changeUserAcoount?id=admin&password=admin" width="0" height="0">

• 옥션 관리자 중 한명이 관리 권한을 가지고 회사내에서 작업을 하던 중 메일을 조회한다.
  (로그인이 이미 되어있다고 가정하면 관리자로서의 유효한 쿠키를 갖고있음)
• 해커는 위와 같이 태그가 들어간 코드가 담긴 이메일을 보낸다. 관리자는 이미지 크기가 0이므로 전혀 알지 못한다.
• 피해자가 이메일을 열어볼 때, 이미지 파일을 받아오기 위해 URL이 열린다.
• URL이 열리면서 관리자의 세션에서 악의적인 스크립트가 실행된다.
• 해커가 원하는 대로 관리자의 계정이 id와 pw 모두 admin인 계정으로 변경된다.

😇 XSRF 방어 전략

client / withCredentials: true

The XMLHttpRequest.withCredentials property is a Boolean that indicates whether or not cross-site Access-Control requests should be made using credentials such as cookies, authorization headers or TLS client certificates. Setting withCredentials has no effect on same-site requests.

헤더에 적용하는 옵션으로 보안 통신 중 다른 도메인(Cross) 사이의 보안 인증(쿠키, TLS 인증)을 보내는 여부를 결정한다.
서버의 CORS 옵션 중 origin 또는 Access-Control-Allow-Origin 옵션이 아무나 허용 * 일 경우 동작하지 않는다.
같은 도메인일 경우 제한하지 않는다.

axios
  .post(
    'https://localhost:4000/users/login',
    {
      userId: this.state.username,
      password: this.state.password,
    },
    { 'Content-Type': 'application/json', withCredentials: true } // <------
      )

server / credentials: true

The credentials read-only property of the Request interface indicates whether the user agent should send cookies from the other domain in the case of cross-origin requests. This is similar to XHR’s withCredentials flag, but with three available values (instead of two):

• omit: Never send cookies.
• same-origin: Send user credentials (cookies, basic http auth, etc..) if the URL is on the same origin as the calling script. This is the default value.
• include: Always send user credentials (cookies, basic http auth, etc..), even for cross-origin calls. (express에선 true와 동일)

보안 인증 정보를(cookies, basic http auth, etc..) 보내는 여부를 결정한다. 기본값은 same-origin일 경우 허용한다.

server / origin: 'https://localhost:3000' or true

교차 출처 리소스 공유(Cross-Origin Resource Sharing, CORS) 옵션이다. 특정 origin에서 온 통신만 허용한다. 사이트를 제한해야 클라이언트의 withCredentials: true 옵션을 활성화할 수 있다. origin 제한이 없이 withCredentails 옵션이 적용되면 아무한테나 나의 인증 정보를 뿌리게 된다.

app.use(
  cors({
    origin: 'https://localhost:3000', // <----- client / withCredentials: true 
    methods: ['GET', 'POST', 'OPTIONS'],
    credentials: true, // <------
  })
);

server / cookie sameSite: 'Lax'

또한 GET/POST 등을 구분하여 주는 것 역시 유용하다. img 태그 등을 이용할 경우 GET 요청으로 들어오게 될 것이고, 반면 흔히 하듯 form을 이용해 값을 받을 경우 POST를 이용하게 되는 경우가 많기 때문이다.

쿠키 설정 중 sameSite 옵션이 위 기능을 포함하고 있다. 크롬의 기본 값은 Lax로 GET을 포함한 일부 태그만 쿠키 전송을 허용한다.

// TODO: express-session 라이브러리를 이용해 쿠키 설정을 해줄 수 있습니다.
app.use(
  session({
    secret: '@codestates', // 암호화로 쓰이는 키
    resave: false, // 세션을 항상 저장할지 설정
    saveUninitialized: true, // 세션이 저장되기 전 uninitialized 상태로 저장
    cookie: { // 세션 쿠키 설정
      domain: 'localhost', // 쿠키를 보내는 사이트(서버)를 명시
      path: '/', // URL 경로. 하위 경로까지 모두 포함.
      maxAge: 24 * 6 * 60 * 10000, // 쿠키 만료 시간. 초단위.
      // XSRF(cross-site request forgery) 공격 방어 옵션
      sameSite: 'None', // 사이트 외부에서 요청을 보낼 때 쿠키 정책
      // Strict : 외부 도메인 쿠키 차단
      // Lax : 외부 도메인 쿠키 일부 허용(HTTP get method / a href / link href)
      // None : 외부 도메인 쿠키 모두 허용. 강제로 origin 옵션과 같이 써야함
      httpOnly: true, // 클라이언트 스크립트가 쿠키를 못보게 함 (document.cookie)
      secure: true, // HTTPS 환경만 쿠키를 전송
    },
  })
);
// CORS 쿠키 설정 활성화
app.use(
  cors({
    // origin: 'https://localhost:3000',
    origin: true,
    methods: ['GET', 'POST', 'OPTIONS'],
    credentials: true, // 다른 도메인간 자격증명(credential, 쿠키 포함)을 전송할지 여부
  })
);

민감한 정보에 적용되는 강화된 방어

그 외에는 패스워드 변경 같은 민감한 정보를 다룰 때에는 세션에 임의난수(토큰)를 발급해서, 해당 난수가 없는 상황에서 해당 동작들이 이루어지면 요청을 거부하는 방법을 통하여 사용자가 정말로 변경을 의도하는 경우에만 변경을 시켜주는 방법, 변경 시에 CAPTCHA를 이용하여 CAPTCHA 인증코드가 없거나 틀리면 거부하도록 하는 방법 등이 이용되고 있다.

민감한 정보는 추가 보안 조치를 해두는게 좋다. 쿠키는 각종 공격의 (CSRF) 타겟이 되기 쉬우므로 중요한 보안 정보는 쿠키에 탑재하는 것을 지양하는 것을 권고하고 있다.

💉 XSS (사이트 간 스크립트 실행)

Cross-Site Scripting. CSS와 구분하기 위해서 앞 단어를 X 로 쓴다.
해커가 의도되지 않는 방식으로 악의적인 스크립트를 심어놓는 공격이다. 취약한 사이트의 경우, 해커가 댓글에 <script> 엘리먼트 형태의 문자열을 등록하면 문자열로 보여지지 않고 태그로 인식되고 다른 사용자는 악의적인 스크립트를 실행하게 된다.

SQL injection과 함께 웹 상에서 가장 기초적인 취약점 공격 방법의 일종으로, 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다.

공격 방법에 따라 Stored XSS와 Reflected XSS로 나뉜다. Stored XSS는 사이트 게시판이나 댓글, 닉네임 등 스크립트가 서버에 저장되어 실행되는 방식이고, Reflected XSS는 보통 URL 파라미터(특히 GET 방식)에 스크립트를 넣어 서버에 저장하지 않고 그 즉시 스크립트를 만드는 방식이다. 후술된 내용 대부분은 Stored XSS라고 생각하면 된다. Reflected XSS의 경우 브라우저 자체에서 차단하는 경우가 많아 상대적으로 공격을 성공시키기 어렵다.

크로스 사이트 스크립팅이란 이름 답게, 자바스크립트를 사용하여 공격하는 경우가 많다. 공격 방법이 단순하고 가장 기초적이지만, 많은 웹사이트들이 XSS에 대한 방어 조치를 해두지 않아 공격을 받는 경우가 많다. 여러 사용자가 접근 가능한 게시판 등에 코드를 삽입하는 경우도 많으며, 경우에 따라서는 메일과 같은 매체를 통해서도 전파된다. 심지어는 닉네임에 코드를 심기도 한다.

😈 XSS 공격 전략

• 스크립트 태그
  스크립트 태그의 스크립트를 실행시킨다. 안타깝게도, 매우 정직한 방법이라 대부분의 사이트에서 막는 경우가 많다.
  <script>alert('XSS');</script>

• 자바스크립트 링크
  링크 태그로 자바스크립트를 실행한다.
  <a href="javascript:alert('XSS')">XSS</a>

• 이벤트 속성
  이벤트 속성을 사용한다. 이벤트 속성으로 스크립트를 실행할 수 있다. 주로 on 으로 시작하는 속성이 이벤트 속성이다. 자주 사용되는 이벤트 속성으로는 onload onerror onclick 등이 있다.
  <img src="#">

• 블랙리스트 우회
  알려지지 않은 태그와 속성들을 사용한다. 블랙 리스트 방식으로 막는 사이트에 사용할 수 있다.
  <ruby>XSS</ruby>

• 내용 난독화
  따옴표로 감싸는 문자열 사이에 공백 문자들을 넣고, HTML 인코드를 하여 난독화한다. 일부 브라우저에서 javascript: 링크 사이에 공백 문자가 들어갈 수 있고, HTML 인코드를 해도 디코드된 내용이 출력된다는 점을 이용한다. 여기에서는 '자바스크립트 링크' 방법과 사용하였지만, 당연히 다른 방법과 함께 사용할 수 있다.

<a href="&#x6A;&#x61;&#x76;&#x61;&#x73;&#xA;&#x63;&#x72;&#x69;&#x70;&#x74;&#xA;&#x3A;&#xA;&#x61;&#x6C;&#x65;&#x72;&#x74;&#xA;&#x28;&#x27;&#x58;&#x53;&#x53;&#x27;&#x29;">XSS</a>

• 스크립트 난독화
  스크립트를 일본어를 사용한 이모티콘들로 난독화한다. 스크립트 실행은 가능하지만, document.cookie 와 같은 단어를 막을 경우 사용하면 된다.
  https://utf-8.jp/public/aaencode.html

참조URL

https://namu.wiki/w/CSRF
https://www.imperva.com/learn/application-security/csrf-cross-site-request-forgery/
https://sj602.github.io/2018/07/14/what-is-CSRF/
https://docs.w3cub.com/dom/request/credentials
https://docs.w3cub.com/dom/xmlhttprequest/withcredentials
https://namu.wiki/w/XSS