PRACTICE MATERIAL
7/20 · 실습·개념 참고 화면 2
「CSRF」 문맥에 삽입된 원본 실습·개념 참고 화면이다. CSRF 학습 내용과 함께 당시 구성·설정·관찰 결과를 비교할 수 있다.
CONCEPT → PRACTICE → VERIFICATION
쿠키가 동반된 상태 변경 요청을 패킷에서 읽기
정상 로그인 상태가 사용자의 변경 의도를 증명하지 않는다는 점을 실제 요청 구조로 설명한다.
- 상태 변경을 유발하는 입력 위치를 찾는다사진의 폼은 게시 메시지 안에 다른 기능을 향하는 링크를 넣은 사례다. 메시지 저장과 링크 목적지의 상태 변경은 서로 다른 요청이다.
- 자동으로 붙는 인증 자료를 확인한다다음 캡처에는 변경 기능을 향한 GET과 Cookie가 함께 보인다. 브라우저가 인증 자료를 첨부해도 사용자가 그 변경을 의도했다고 증명할 수는 없다.
- 의도 검증 실패가 변경 전에 끝나는지 시험한다정상 토큰·누락 토큰·다른 세션 토큰으로 요청을 구분한다. 토큰 검증 실패는 실제 변경 코드가 실행되기 전에 거부돼야 한다.
