참조자 스푸핑

Referer spoofing

HTTP 네트워킹(일반적으로 World Wide Web)에서 레퍼러 스푸핑은 사용자가 이전에 방문한 웹 페이지의 ID에 대한 정확한 데이터를 웹 사이트가 얻는 것을 방지하기 위해 HTTP[1] 요청으로 잘못된 레퍼러 정보를 보냅니다.

개요

레퍼러 스푸핑은 일반적으로 데이터 프라이버시 이유, 테스트 중 또는 일부 웹 서버가 특정 HTTP 레퍼러에 대한 요구에 대한 응답으로만 제공할 수 있는 정보(진정한 권한 없음)를 요구하기 위해 수행됩니다.

개인 정보 보호를 위해 개인 브라우저 사용자는 정확한 참조자 데이터를 부정확한 데이터로 대체할 수 있지만, 많은 사용자가 단순히 브라우저의 참조자 데이터 전송을 억제할 수 있습니다.레퍼러 정보를 송신하지 않는 것은 기술적으로 스푸핑이 아닙니다.단, 경우에 따라서는 스푸핑이라고도 불립니다.

소프트웨어, 시스템 및 네트워크 테스트 및 경우에 따라서는 침투 테스트에서 레퍼러 스푸핑은 테스트 대상 HTTPD 시스템에 정확하고 부정확한 입력뿐만 아니라 예상된 입력과 예상치 못한 입력을 전송하고 결과를 [2]관찰하는 더 큰 절차의 일부일 수 있습니다.

많은 웹 사이트가 레퍼러 정보를 수집하고 취득한 레퍼러 정보에 따라 다른 콘텐츠를 제공하도록 구성되어 있지만, 인증 및 인가를 위해 HTTP 레퍼러 정보에만 의존하는 것은 진정한 컴퓨터 보안 수단이 아닙니다.HTTP 레퍼러 정보는 자유롭게 변경 및 감청할 수 있으며 패스워드가 아닙니다.단, 설정이 불충분한 일부 시스템에서는 패스워드가 아닙니다.

어플

일부 웹 사이트(특히 많은 이미지 호스팅 사이트)는 참조자 정보를 사용하여 자료를 보호합니다. 즉, 웹 페이지에서 도착한 브라우저만 이미지를 제공합니다.또, 다운로드 가능한 파일에 직접 액세스 할 수 있도록 하기 전에, 유저가 광고가 있는 페이지를 클릭할 필요가 있는 경우도 있습니다.참조 페이지 또는 참조 사이트 정보를 사용하면, 부정한 유저를 사이트에서 사용하는 랜딩 페이지로 리다이렉트 할 수 있습니다.

공격자가 승인된 레퍼러에 대한 지식을 습득한 경우(많은 사이트가 공통 [3]템플릿을 따르기 때문에 사소한 경우가 많음), 이 정보를 조합하여 이용하거나 자료에 액세스할 수 있습니다.

스푸핑은 종종 사이트의 웹 서버가 참조자 헤더를 전송하지 않는 브라우저를 차단하도록 구성된 사이트의 컨텐츠에 액세스할 수 있도록 허용합니다.웹 사이트 소유자는 이를 통해 핫링크를 허용하지 않을 수 있습니다.

또한 사이트 간 요청 위조 공격을 완화하기 위해 사용되는 참조자 검사 컨트롤을 차단하는 데도 사용할 수 있습니다.

도구들

웹 브라우저에서 참조자 스푸핑을 용이하게 하기 위해 몇 가지 소프트웨어 도구가 있습니다.Mozilla Firefox나 Internet Explorer 등의 일반적인 브라우저의 확장기능이 있습니다.이러한 브라우저는 사용자가 방문하는 각 웹 사이트의 레퍼러 URL을 커스터마이즈 및 관리하는 기능을 제공할 수 있습니다.

그 외의 툴에는 프록시 서버가 있습니다.이 서버에는 모든 HTTP 요구를 송신하도록 개인이 브라우저를 설정합니다.그런 다음 프록시는 다른 헤더를 의도된 웹 사이트로 전송하고 일반적으로 참조자 헤더를 제거하거나 수정합니다.이러한 프록시는 사용자의 활동을 기록할 수 있기 때문에 사용자의 개인 정보 보호 문제도 일으킬 수 있습니다.

「 」를 참조해 주세요.

  • Referrer 스팸– 검색 엔진을 대상으로 하는 스팸의 일종

메모들

  1. ^ Gourley, David; Totty, Brian; Sayer, Marjorie; Aggarwal, Anshu; Reddy, Sailu (27 September 2002). HTTP: The Definitive Guide. ISBN 9781565925090.
  2. ^ "The HTTPS-Only Standard - Introduction to HTTPS". https.cio.gov. Retrieved 2021-05-01.
  3. ^ Sieklik, Boris (March 2016). "Evaluation of TFTP DDoS amplification attack". The Cyber Academy, Edinburgh Napier University.