CSRF

cross-site request forgery

사이트 간 요청 위조의 줄임말.

웹 애플리케이션 취약점 중 하나로, 사용자가 자신의 의지와 무관하게 공격자가 의도한 행동을 해서 특정 웹 페이지를 보안에 취약하게 한다거나 수정, 삭제 등의 작업을 하게 만드는 공격 방법이다. 2008년에 발생한 옥션의 개인정보 유출사태에서도 관리자 계정을 탈취하는 데 이 방법이 사용되었다. 공격이 어렵지도 않아 흔히 사용된다.

이러한 공격을 하기 위해 해커는 우선 공격을 할 사이트를 먼저 분석한다. 예를 들어서 나무위키의 토론 주소는 한때 'namu.wiki/topic/'으로 시작하며 뒤에 토론 개설 순서대로 붙는 일련번호가 붙는 형식으로 되어 있었다.⁽¹⁾ 즉 이 패턴을 이용하여 일반적인 방법으로 접근할 수 없는 페이지를 오픈한다든지, 개발에 사용되고 실제로 사용하지 않는 샘플 페이지를 찾아낸다든지 등의 행위가 가능하다.

웹 페이지가 독자적 개발이 아닌 외부에서 이미 개발된 웹 애플리케이션을 사서 조금 수정한 것이라면 공격자는 경우에 따라서 해당 웹 애플리케이션의 소스 코드를 분석하여 공격 가능 패턴을 찾아낸다. 주로 공격자들이 찾는 것은 사용자 패스워드 변경 페이지나 타 시스템과 로그인 연동 주소 패턴 같은 인증 관련된 취약점을 찾는다.

그다음에 여기서 나온 취약점을 이용해서 공개된 게시판이나 메일을 이용해서 사용자가 해당 링크를 열게 만들면 공격이 완료된다.