우리는 CSRF 공격으로 주장 된 기록적인 중복 문제에 직면 해 있습니다.CSRF 공격으로 기록 된 중복 기록 문제
시나리오는 관리자가 응용 프로그램에 로그인하여 레코드를 추가하면 데이터가 데이터베이스에 저장됩니다. 해당 POST 요청이 캡처되고 재생되어 데이터베이스에 중복 레코드가 추가됩니다. 이 취약점으로 인해 공격자는 재생시 n 개의 중복 레코드를 데이터베이스에 추가 할 수 있습니다.
CSRF 공격이라고 할 수 있습니까?
아니요. POST가 캡처되는 경우
, 당신은 합법적 인 요청이 다시을 재생되는 것을 특징 재생 공격에서 찾고 있습니다.nonce (임의 값)를 양식에 추가하고 POST가 완료 될 때 임의의 값이 존재하도록 요구 한 다음 nonce를 무효화하여 재생 공격을 무력화 할 수 있습니다. 이는 CSRF 공격을 차단하는 데 사용 된 것과 동일한 기술입니다.
그러나 공격자가 POST 데이터를 읽을 수 있으면 더 큰 문제가있을 수 있습니다. 예를 들어, 관리자 인증 단계를 캡처 할 수 있기 때문에 암호 또는 기타 중요한 정보가 노출 될 수 있습니다.
그것은 당신이 공격을 받고 아니라는 것을 수도, 그리고 중복은 뒤로 버튼 또는 페이지를 다시로드 중 하나를 사용하여 발생하는 것이다. 어쨌든 반복적 인 거래를 막기 위해 어떤 종류의 방어 방법을 사용하는 것이 가장 안전합니다.
귀중한 답변을 보내 주셔서 감사합니다. – user3724842