너무 옛날 내용이라 다소 지루할수있다.

위키의 내용을 조금 빌려서 설명하겠습니다.

사이트 간 요청 위조(Cross-site request forgery, CSRF, XSRF) 웹 서비스 취약점 공격의 하나로,

사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위 (좋아요,삭제,탈퇴,수정)를 특정 웹사이트에 요청하게하는 공격을 말한다.

이전에 XSS가 가능하다면 바로 연계해서 사용할수있는 공격법이다.

해당 서비스에 XSS 취약점이 존재한다면 CSRF 취약점도 존재한다고 보면 된다.

하지만 XSS,CSRF등의 공격법은 예전에 나와서 이미 보안책들이 많이 나왔지만 한국에서 주로 커뮤니티 서비스들 게시판등에서 아직 까지 발생하고는 문제사항이다.

간단하게 에를 들어보자.

음.. 어떤게 좋을까.

쇼핑몰 고객문의 게시판을 예로 들어보자.

관리자(어드민)은 고객들의 문의를 하나하나 볼 것이다.

어떠한 게시물이라도 열람할것이기 때문에 내가 걸어놓은 트랩에 걸릴 확률도 100% 로 봐도 무관하다.

메소드는 그냥 간단한 설명을 위해 get 방식에 대한 예만 들겠다.

고객문의 게시판등의 폼등을 보고 대략적인 로직을 유추할수있고 파라미터값을 아래와 같이 던질수잇겠다.

YoungJunShop-host.org/qna/inser?tit=지금 입금하면 해당 금액의 두배의 상품을 드립니다&body=블라블라내용 어린이은행 우영준

생각해보니 공지라면 따로 필드값도 필요할수있겠다.

SQL인젝션등을 통해서 필드명도 유추해서 같이 보내는것도 방법이겠다.

해당 값을 게시물을 열람하는 동시에 요청하면된다.

방지법등으로는 보안 토큰이나 캡챠등을 예로 들수있겠다.