xss, csrf 간단하게

xss 

cross site scripting: 자바스크립트 공격

 

예: 글쓰기 버튼 클릭 -> 글 작성 화면 -> 글 작성 

이 때 글 작성할 때 <script> for(var i = 0; i < 10000; i++) {alert("123);} </script> 같은 자바스크립트 코드를 넣어서 작성함

 

 

csrf

예: 하이퍼링크 이용.. <a href=“타겟 주소”> <img src=“…”></a>

방지방법:

 1 주소에 다 드러나는 get 방식 말고 post 방식

 2 같은 도메인에서 들어온 요청이 아니면 다 차단 (header에서 referrer 검증)

 3 csrf 토큰 사용 (스프링 시큐리티에서는 csrf 토큰 없으면 무조건 접근 차단함)