|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_programming&no=1491 [복사]
===============================================================================
>쿠키와 세션의의 스니핑과 스푸핑에 대해서 공부하고 있는 학생입니다.
>
>한데 쿠키는 큰틀은 잡혀가는 도중에..
>
>세션을 공부를 하는데 순간 혼돈이 왔습니다.
>
>제가 처음 공부하기론 쿠키는 클라이언트에 저장되고 세션은 서버측에 저장된다.
>
>라는 문서를 읽었었는데요.
>
>몇개의 문서를 더보다보니 쿠키도 서버측에 저장되어 인증될수 있다<--라는 구문을
>
>발견하면서 약간 혼란이 오고있습니다.
>
>질문1. 세션은 단지 두번의 인증절차를 거치는 쿠키의 보안형이라고만 볼수 있는건가요? 좀더 다른차이점을 아신느분은 설명해주시면 감사하겠습니다.
>
>
>질문2.쿠키 스푸핑이 뭔지는 알겠습니다. 한데 세션 스푸핑과 세션 하이젝킹의 차이점이 뭔가요? 비슷한 개념같긴한데.. 세션하이젝킹은 어떤방식으로 이뤄지는지
>틀좀 잡아주세요.. 자료가 많이없네요..ㅠㅠ
===============================================================================
ㅋㅋ...신나게 답글 썼는데..로그인 세션이 종료되는 바람에..
썼던 글이 다 날라갔네요..
그래서 초간단하게 알려드리겠음 귀차니즘 장난아님 ㅋㅋ
또한 제가 쓰는 글이 답이다는 아니고 대충 이런 것이다 라고 이해해주길 바람.
쿠키는 pc 와 server 사이에서 pc 에 주요정보를 저장하고
세션은 pc 와 server 사이에서 server 에 주요정보를 저장합니다.
"쿠키도 서버측에 저장되어 인증될수 있다"
는 정확히 어떤 의미인지를 잘 모르겠지만..
쿠키를 서버측에 저장되어 인증 할 수는 있습니다.
다만...
회원이 10명인 곳에서 쿠키를 저렇게 저장하면 상관이야 없지만..
100만명의 회원들을 위해서 서버가 자신을 희생하고 부담을 가지면서 하는게
효율적이지 못한 관리이기 때문이지 않을까 생각이 됩니다.
쿠키와 세션은 주체가 무엇이냐의 차이이기도 하며..기술적 방식의 차이이기도 하지만
둘다 하는 짓거리는 똑같다고 봅니다.
쿠키는 쿠키를 저장한 자신의 컴퓨터에서
변조가 가능하며 그 변조된 것을 통해서 악의적인 목적을 얻을수 있기때문에
단순히 쿠키로만 사용한다면
a computer cookie request -> 변조 -> server response
server request good -> a computer
세션을 같이 사용한다면
a computer cookie -> 변조 -> server response
server request session not match -> 옳바르지 않음 -> a computer
세션을 사용하게 된것같습니다.
하지만 세션도 스니핑 과 하이재킹을 통해서 문제가 됩니다.
서버에 저장되어 있는 세션을 통해서 언제든지..
스니핑을 할 수 있고 하이재킹을 할 수도 있습니다.
질문 하신 2번 처럼..하이재킹과 스푸핑은 비슷한 개념이지만..
예를 들어
a server 의 세션을 하이재킹해서 악의적인 목적을 취 할 수는 있지만
세션 자체를 속이지는 못합니다.
세션에 의존하게 된다는 것이지요..
세션 스푸핑은 변조된 세션을 이용하기 때문에
본래의 세션을 의존하지 않습니다.
악의적인 세션에 의존하기 때문에 조금더 다양한 공격을 할 수가 있겠지요..
어쨋든..
은근히 다 말장난이기 때문에 충분히 해깔릴수있다고 생각이 됨.. |
Hit : 5251 Date : 2007/11/16 03:06
|
3204, 
11/161 
k1rha
