[네트워크 보안] 웹 취약점 비교

 

 

취약점	XSS	CSRF 클라이언트 측 요청 위조	SSRF 서버 측 요청 위조
주요 공격 목표	세션탈취, 사용자 정보 탈취	권한 남용 (패스워드 변경, 송금 등)	내부망, 내부 서버 침투
공격 포인트 및 로직	신뢰할 수 있는 사이트에 방문하는 순간 클라이언트 브라우저에 악성스크립트를 실행	로그인 되어있는 브라우저를 이용하여 악성 사이트에 방문했을때 요청을 발생시킴	사용자 입력값을 서버 간 요청으로 전달
대응 방법	입력값 검증 csp 헤더 설정 HttpOnly 쿠키 설정 HTML Escape	csrf 토큰 사용 sameSite 쿠키 속성 설정	url 필터링(화이트리스트)정책 사용 사용자 입력값 검증

 

*HttpOnly

- 쿠키를 자바스크립트에 접근하지 못하도록 차단하는 속성

 

*sameSite

- 쿠키가 어느 출처의 요청에 포함될 수 있는지 제어하는 속성