[JAVA, JSP] CSRF 공격이란? 방어 방법?

🤔 Question

👉 CSRF(Cross-Site Request Forgery)란 사용자가 로그인한 상태를 악용하여, 공격자가 의도한 요청을 서버에 보내게 만드는 웹 공격 기법입니다. 특히 JAVA, JSP 기반 웹 시스템에서는 세션 인증 구조를 사용하기 때문에 CSRF 공격에 매우 취약해질 수 있습니다.

 

🎯 CSRF 공격 원리

👉 사용자가 은행 사이트나 쇼핑몰에 로그인한 상태에서, 공격자가 만든 악성 웹페이지에 접속하면 브라우저는 자동으로 기존 세션 쿠키를 포함하여 요청을 보냅니다. 이 요청이 서버에서 정상 사용자 요청으로 처리되면, 공격자가 의도한 계좌이체, 비밀번호 변경 등의 행위가 실행됩니다.

 

🎯 JAVA / JSP 환경에서 취약한 이유

👉 JSP 기반 웹 애플리케이션은 일반적으로 JSESSIONID 기반 세션 인증을 사용합니다. 이 세션 값은 브라우저에 자동으로 포함되기 때문에, 외부 사이트에서 발생한 요청이라도 서버 입장에서는 정상 사용자 요청과 구분할 수 없습니다.

 

🎯 CSRF 방어 방법

👉 가장 효과적인 방법은 CSRF 토큰을 사용하는 것입니다. 서버는 세션마다 난수 토큰을 생성하고, JSP 폼에 hidden 값으로 포함시킵니다. 요청 시 이 토큰이 일치하지 않으면 서버는 해당 요청을 차단합니다. Spring Security를 사용하면 CSRF 보호 기능을 기본 제공받을 수 있습니다.

 

🎯 Referer / SameSite 쿠키

👉 추가적인 방어책으로 Referer, Origin 헤더 검증과 SameSite 쿠키 설정이 있습니다. SameSite 옵션을 Strict 또는 Lax로 설정하면 외부 사이트에서 자동으로 세션 쿠키가 전송되지 않아 CSRF 공격을 원천 차단할 수 있습니다.

 

☔ 정리

👉 CSRF는 사용자의 권한을 그대로 악용하는 매우 위험한 웹 공격입니다. JAVA, JSP 환경에서는 CSRF 토큰, SameSite 쿠키, Referer 검증을 반드시 적용해야 하며, 이를 무시하면 인증된 사용자 계정이 그대로 공격에 노출됩니다.

 

 

If I was of any help to you, please buy me coffee 😿😢😥

If you have any questions, please leave them in the comments

Buy me a coffee

▶ Youtube Sub

🧭 References

[1] reference : https://doctorson0309.tistory.com/

[2] Ads : https://apps.apple.com/us/app/beluga-classic-film-filters/id6744041061