보안관련 고수님들 도와주세요!!(무작위공격)

Question

안녕하세요.보안관련해서 고수님들의 경험이나 방법을 여쭈려고 글을 남깁니다.실제 서비스중인 페이지가 있습니다.해당 페이지는 버튼을 클릭하면 데이터가 전송되는 신청서 형식의 페이지 입니다. form action저희가 kr,co.kr 두가지 도메인을 모두 사용하여, input type hidden 에 co.kr 이면 1 kr 이면 2 라는 값을 가져옵니다.최근들어 아이피를 주기적으로 변경해가면서 동일한 데이터를 무작위로 계속 넣는 공격(?) 이 들어옵니다.1초당 데이터가 4~5개씩 들어오며, 앞에 말씀드린 도메인을 구분짓는 input 에도 저희가 지정한 데이터가 아닌무작위 숫자가 막 들어옵니다.이런경우 고수님들이 어떻게 처리하셨는지 경험담 또는 방법을 조언해주시면 정말 감사드리겠습니다.

MungGaeDev · Accepted Answer

reCAPTCHA

킁킁탐정 · Answer

CSRF 기본 중에 기본JS로 input field를 만들고 이 필드가 form을 통해 서버로 전송되지 않으면 무조건 거부 headless 브라우저로 공격하기엔 리소스가 많이 들기 때문에 JS 실행을 못하는 경우가 많습니다. spam 대책의 일환으로 사용됩니다.https://ipapi.is/ 서비스로 vpn, tor, proxy, mobile, abuser인지 검사해서 거부하기 무료버전도 있습니다.https://www.google.com/recaptchahttps://www.cloudflare.com/ko-kr/products/turnstile/기타 등등 많은 것들이 가능합니다.

테스트맨 · Answer

캡차말고 방법이 없음봇을 막는 방법은 그것뿐

mirheeoj · Answer

걱정하시는 부분이 정확히 어떤 부분인가요? 트래픽 자체가 문제면 DDoS식으로 접근하셔야 될것 같고, 트래픽은 문제없으나 브루트포스식 내부 자료 탈취나 의미없는 데이터가 쌓이는 게 걱정이라면 다음과 같은 방식을 생각해볼 수 있겠습니다. 대충 생각나는 대로 적습니다.신청URL을 무작위화하고 각 URL로부터는 한번만 submit을 받아주고 유효 시간도 제한input validation실제 렌더링된 클라이언트만 넣을 수 있는 암호화 숨김필드 등을 만들어 검증브라우저 핑거프린트를 이용해 submit rate 제한페이지 열람 후 타이핑 속도, 실제 submit까지 걸린 시간 등 체크 그러나 아무나 쓸 수 있게 열어두었다면 결국에는 캡차 쓰셔야 될거예요.

알이느이르 · Answer

고수님들 모두 답변 감사드립니다. 한분한분 댓글이 모두 유용했고, 많이배워갑니다. 답변 남겨주신 모든분을 채택해드리고 싶지만 결과적으로 적용해볼 recaptcha를 처음 말씀해주신 분께 채택드렸습니다.다시한번 댓글달아주셔서 감사드립니다.

보안관련 고수님들 도와주세요!!(무작위공격)

5개의 답변

기술 목록