세션 고정 보호

Question

14:53초 세션 고정보호 설명과 관련해서 질문드립니다.

공격자가 서버에 접속해서 세션ID값을 받고 그 값을 사용자에게 심어놓는다고 하셨는데

어떻게 심어놓나요?

공격자가 만든 웹에 접근하게 하나요?

Answer

네

심는 방식은 여러 가지 유형이 있을 수 있습니다.

그리고 저도 어떻게 심는지 잘 알지는 못합니다.

사용자의 메일에 악성코드를 심어놓고 그 코드가 실행될 때 브라우저에 심을 수 있습니다.

그 외 다른 여러 형태가 있을 수 있습니다.

중요한 사실은 어떤 식으로든 공격자가 심을 수 있다는 것이고 거기에 대비하는 것이 더 중요하겠죠