오늘 새벽 3시경 일어난 사건이네요.

 

정리하자면 

 

 

1. 새벽 3시 무렵 모 커뮤니티에서 모 대선후보 욕하는 글에 순식간에 많은 추천수가 생김.... 

 

2. 그런데 추천 눌렀다고 뜨는 사람들 중 대부분이 추천 누른 적 없고 심지어 글을 클릭도 안한 경우도 많음.
(해당 사이트는 어떤 글에 누가 추천을 눌렀는지 전부 공개되나봐요.)

 

 

이에 해당 사이트 유저들은 추천 조작이 분명하다, 사이트 운영진에게 해명을 요구하였고

 

 

704DBAA4-B743-48B1-91FB-58FF689281AD.jpeg

 

운영진들은 이렇게 해명을 하였는데

사진의 해명에서 보이듯이 CSRF 공격의 일종이었다고 합니다.

 

저 커뮤니티가 결코 소규모의 커뮤니티는 아닌데

 

2022년에도 저런 기초적인 취약점이 발견된다는게 씁쓸하네요.

 

 

차라리 라이믹스를 사용하며 꾸준히 업데이트를 해준다면

저런 기초적인 공격은 방어 할 수 있을텐데... 라는 생각을 해봅니다.

양희은

?
너 이름이 뭐니?
  • profile
    엠팍인가요?
  • profile

    CSRF는 프레임워크 차원에서 일괄적으로 막지 않으면

    각각의 기능을 구현하는 개발자가 매번 생각해서 대응하기는 쉽지 않지요.

    RXE도 아니고 그누도 아니고 기타 프레임워크를 쓴 것도 아니고

    그냥 날코딩으로 만든 사이트라면 가장 쉽게 뚫리는 게 CSRF입니다...

  • profile

    해당사이트 겉에서 바로 보이는 것만해도, TLS 1.3 지원도 안되고(꼭 필요한 것은 아니지만 관리가 부실하다는 것은 알수 있음), mixed 컨텐츠가 아직도 남아있고(관리부실), 헤더에 보안 설정도 안되어 있고(보안소홀), 스크립트도 이상한데 있고(이해가 부족한 상태에서 만들었을 수 있음)... 그렇다면 CSRF나 XSS 같은 것에 대한 대응이 되어있을것으로 기대하기 힘들겠죠.

  • profile
    새로운걸 배우게 됐네요.. 감사합니다