delpho

_1. [ CSRF (Cross Site Request Forgery) ] 사용자(희생자)가 자신의 의지와는 무관하게 공격자가 의도한 행위(수정, 삭제, 등록 등)를 특정 웹사이트에 요청하게 만드는 공격 _2. [ 공격 방법 ] 1. 공격자는 피싱사이트 혹은 CSRF 스크립트가 포함된 이메일를 전송 2. 사용자는 해당 사이트 혹은 메일을 열람 3. 사용자의 권한을 사용하여 공격자가 원하는 CSRF 스크립트 요청이 발생 4. 공격자가 의도한 행위가 실행 _3. [ 방어 방법 ] Referrer 검증 Back-end 단에서 request의 referrer를 확인하여 domain (ex. *.facebook.com) 이 일치하는 지 검증하는 방법 Security Token 사용 (A.K.A CSRF Token..

_1. [ XSS (Cross Site Scripting) ] 1. 사용자가 악성 스크립트를 삽입하여 의도하지 않은 명령을 실행시키거나 세션 등을 탈취할 수 있는 취약점 2. 대부분 JS를 이용한 공격 _2. [ 종류 ] Reflected XSS 악성 스크립트를 클라이언트에게 직접 전달 서버에 스크립트를 저장하지 않기 때문에 서버에서 이루어지는 필터링을 피할 수 있음 Stored XSS 악성 스크립트를 서버에 저장시킨 다음 클라이언트의 요청/응답 과정을 통해 공격하는 방식 DOM Based XSS 브라우저가 html 페이지를 분석하여 DOM을 생성할 때 악성 스크립트가 DOM의 일부로 구성되어 생성되는 공격 출처 https://tibetsandfox.tistory.com/5 XSS(Cross Site S..

_1. [ SQL Injection ] 임의의 SQL 문을 주입하고 실행되게 하여 데이터베이스가 비정상적인 동작을 하도록 조작하는 행위 _2. [ 종류 ] Error based SQL Injection Union based SQL Injection Blind SQL Injection Blind SQL Injection Stored Procedure SQL Injection Mass SQL Injection _3. [ 대응 방안 ] Error Message 노출 금지 웹 방화벽 사용 Prepared Statement 구문사용 출처 https://noirstar.tistory.com/264 SQL Injection 이란? (SQL 삽입 공격) 1. SQL Injection 1.1 개요 Ÿ SQL Inject..

_1. JWT, OAuth ... 연관이 되어보이는데 확실한 차이가 무엇인지 감이 잘 안온다. JWT가 과일이라면, OAuth는 과일을 담는 상자! [ JWT ] Token의 한 종류 [ OAuth (Open Standard for Authorization) ] 클라이언트 애플리케이션에게 보안 위임 액세스를 제공하는데에 사용하는 개방형 표준 프로토콜 [ 개방형 표준 ] 기술 표준이 문서화되어 공개되어있고, 사용이 자유로운 것 풀어말하면 A서비스를 이용하는 사람들이 별다른 비밀번호나 자격증명없이 로그인할 수 있도록 B서비스에서의 접근 권한을 부여할 수 있게하는 표준 _2. 근데.. OAuth는 프로토콜이야? 프레임워크야? 검색해보니 둘 다 불리던데.. 👉 OAuth2.0 프로토콜이라고도 불리고 프레임워크라..