웹9

• CSRF(Cross-Site Request Forgery) CSRF란 Cross-Site Request Forgery의 약자로, 인터넷 사용자가 자신의 의지와는 무관하게 공격자가 의도한 요청을 보내도록 유도하는 공격 기법입니다. 유명 경매 사이트인 옥션에서 발생한 개인정보 유출 사건에서 사용된 공격 방식 중 하나입니다. 사이트 간 스크립팅(XSS)을 이용한 공격이 사용자가 특정 웹사이트를 신용하는 점을 노린 것이라면, 사이트간 요청 위조(CSRF)는 특정 웹사이트가 사용자의 웹 브라우저를 신용하는 상태를 노린 것입니다. 일단 사용자가 웹사이트에 로그인한 상태에서 사이트간 요청 위조 공격 코드가 삽입된 페이지를 열면, 공격 대상이 되는 웹사이트는 위조된 공격 명령이 믿을 수 있는 사용자로부터 발송된 것으로 판단하게 되어 공격에 노출됩니다. 공격자는 사용자가 자주 .. 웹 2023. 4. 26.

• XSS(Cascading Style Sheet) 줄이면 CSS인데 Cascading Style Sheet와 혼동이 올 수 있어서 XSS라고 부릅니다. SQL Injection과 함께 웹 상에서 가장 기초적인 취약점 공격 방법의 일종으로, 웹 사이트에 있는 취약점을 이용하여 공격자가 악성 스크립트를 삽입하고, 이 스크립트가 사용자 브라우저에서 실행될 때 발생하는 보안 취약점입니다. 공격에 성공하면 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취합니다. 대개 웹 애플리케이션에서 입력 값을 검증하지 않아 발생합니다. 따라서 개발자들은 사용자 입력 값을 받을 때, 적절한 검증 및 이스케이프 처리를 수행하여 XSS 공격을 방지해야 합니다. 공격 방법에 따라 Stored XSS와 Reflected XSS로 나뉩니다. Stored .. 웹 2023. 4. 26.

• What is SQL injection in vulnerability hacking? Hacking은 사회공학적 해킹, 취약점 해킹, 메모리 해킹 등이 있습니다. 그 중 취약점 해킹에서 SQL 인젝션(SQL 삽입, SQL 주입으로도 불립니다)은 코드 인젝션의 한 기법으로 클라이언트의 입력값을 조작하여 서버의 데이터베이스를 공격할 수 있는 공격방식을 말합니다. 주로 사용자가 입력한 데이터를 제대로 필터링, 이스케이핑하지 못했을 경우에 발생합니다. 공격의 쉬운 난이도에 비해 파괴력이 어마어마하기 때문에 보안 코딩을 하는 개발자라면 가장 먼저 배우게 되는 내용입니다. 이러한 injection 계열의 취약점들은 테스트를 통해 발견하기는 힘들지만 스캐닝들이나 코드 검증걸차를 거치면 보통 쉽게 발견되기 때문에 탐지하기는 쉬운 편입니다. 보안회사 Imperva가 2012년에 발표한 보고서에 따르면 월.. 웹 2023. 4. 26.

• ORM이란? ORM(Object-Relational Mapping)은 객체 지향 프로그래밍 언어와 관계형 데이터베이스를 연결하는 기술입니다. ORM은 데이터베이스에 접근하는 대신, 객체를 사용하여 데이터를 조작할 수 있도록 합니다. ORM을 사용하면 SQL 쿼리를 직접 작성하지 않고도 객체를 통해 데이터를 조작할 수 있습니다. ORM은 객체 지향 프로그래밍 언어의 클래스와 관계형 데이터베이스의 테이블을 매핑합니다. 이를 통해 개발자는 객체를 사용하여 데이터베이스를 조작할 수 있으며, 데이터베이스와의 상호작용이 간편해집니다. ORM은 다양한 언어와 프레임워크에서 사용됩니다. 파이썬의 대표적인 ORM 프레임워크로는 장고(Django), SQLAlchemy, Peewee 등이 있습니다. ORM은 생산성을 높이고, 코드의 .. 웹 2023. 4. 25.

• MVC패턴과 MVT 패턴 MVC(Model-View-Controller) 패턴과 MVT(Model-View-Template) 패턴은 웹 개발에서 가장 많이 사용되는 패턴 중 두 가지입니다. MVC 패턴은 웹 어플리케이션을 세 가지 요소로 구분합니다. 모델(Model)은 데이터를 관리하고, 뷰(View)는 사용자 인터페이스를 담당하며, 컨트롤러(Controller)는 모델과 뷰 사이의 연결을 담당합니다. 사용자의 요청은 컨트롤러로 전달되고, 컨트롤러는 요청을 처리하고 모델과 뷰를 조합하여 응답을 반환합니다. 반면에 MVT 패턴은 MVC 패턴과 유사하지만, 뷰(View)와 컨트롤러(Controller)의 역할이 약간 다릅니다. MVT 패턴에서 뷰(View)는 사용자 인터페이스를 표현하며, 템플릿(Template)은 뷰와 모델(Mod.. 웹 2023. 4. 25.

• 쿠키 vs 로컬스토리지 로컬스토리지와 쿠키는 웹 사이트에서 클라이언트 측에서 데이터를 저장하는 데 사용되는 두 가지 방법입니다. 쿠키 서버에서 생성되어 클라이언트에 저장되는 작은 데이터 조각입니다. 클라이언트가 서버에 요청을 보낼 때마다 해당 쿠키를 함께 전송하여, 서버는 해당 쿠키를 기반으로 해당 클라이언트를 식별합니다. 만료 날짜가 지나면 자동으로 삭제되며, 서버 측에서 쿠키의 유효성을 검증할 수 있습니다. 각각 이름, 값, 만료일 및 경로와 같은 속성을 가질 수 있습니다. 보안에 취약할 수 있으며, 브라우저에서 쉽게 삭제할 수 있습니다. 최대 4KB의 데이터만 저장할 수 있으며, 동일한 도메인에서만 액세스할 수 있습니다. 용도 주로 인증 정보나 세션 ID로 쓰이며, 사용자 로그인 정보, 환경 설정 및 기타 사용자 관련 정.. 웹 2023. 4. 21.

• Session vs Token 세션 기반 인증 사용자가 로그인 페이지에 접속하여 ID와 비밀번호를 입력합니다. 서버는 입력된 정보를 검증하고, 인증되면 해당 사용자에 대한 정보를 가지고 세션ID를 발급합니다. 세션ID는 서버에 저장됩니다. 세션ID는 사용자의 브라우저 쿠키에 저장되어, 사용자는 다른 요청을 보낼 때마다 세션ID를 함께 보냅니다. 서버는 세션ID를 받아 해당 사용자의 정보를 가져와 요청에 대한 응답을 보냅니다. 사용자가 로그아웃하면 세션ID는 삭제됩니다. 장점 서버에서 세션에 대한 정보를 저장할 수 있어, 로그인된 사용자에 대한 추가적인 정보를 저장하거나 관리하기에 용이합니다. 단점 서버에서 세션 정보를 유지하기 위해 자원이 많이 필요합니다. 사용자가 로그아웃하지 않은 경우에는 서버의 부하를 일으킬 수 있습니다. 토큰 .. 웹 2023. 4. 21.

• HTTP와 웹의 동작 방식_2 HTTP 메시지의 구조 HTTP 메시지는 웹 상에서 데이터를 주고받기 위한 프로토콜로, 요청 메시지와 응답 메시지로 구성된다. 요청 메시지는 클라이언트가 서버에게 보내는 메시지이며, 요청 라인, 요청 헤더, 메시지 본문으로 구성된다. 요청 라인은 요청 메서드, 요청 URI(Uniform Resource Identifier), HTTP 버전 정보를 담고 있다. 요청 헤더는 요청에 대한 부가 정보를 담고 있으며, 헤더 이름과 헤더 값이 쌍으로 이루어져 있다. 메시지 본문은 클라이언트가 서버로 전송하고자 하는 데이터를 담고 있다. 응답 메시지는 서버가 클라이언트에게 보내는 메시지이며, 상태 라인, 응답 헤더, 메시지 본문으로 구성된다. 상태 라인은 HTTP 버전 정보, 상태 코드, 상태 메시지를 담고 있다. .. 웹 2023. 4. 20.

• HTTP와 웹의 동작 방식_1 프로트엔드와 백엔드의 역할 프론트엔드 사용자가 웹 페이지나 앱을 사용할 때 직접적으로 보는 부분이다. 즉, 웹 페이지의 디자인, 레이아웃, 그래픽 등을 담당하며 사용자 인터페이스(UI)를 개발한다. HTML, CSS, JavaScript와 같은 프로그래밍 언어를 사용하여 웹 페이지를 만들고, 사용자가 직접 조작할 수 있는 버튼, 폼, 링크 등의 요소를 구현한다. 또한, 반응형 웹 디자인을 통해 다양한 기기에서 사용자가 편리하게 이용할 수 있도록 한다. 백엔드 프론트엔드와 달리 사용자가 보이지 않는 서버 측 영역을 담당한다. 백엔드는 데이터베이스, 서버, 애플리케이션과 같은 기술을 사용하여 웹 애플리케이션의 핵심 기능을 구현한다. 즉, 사용자의 요청에 따라 데이터를 검색, 수정, 삭제하고, 보안, 인증, .. 웹 2023. 4. 19.