https://blog.mingon.dev/tags/samesite/Recent content in SameSite on 보안 연구 노트Hugo -- gohugo.ioko-KRSat, 27 Jun 2026 10:00:00 +0900https://blog.mingon.dev/playbook/playbook-csrf-%EC%A7%84%EB%8B%A8-cheat-sheet/Sat, 27 Jun 2026 10:00:00 +0900https://blog.mingon.dev/playbook/playbook-csrf-%EC%A7%84%EB%8B%A8-cheat-sheet/CSRF 진단 중 어떤 방어가 어느 조건에 걸려 있는지 빠르게 판별하고 다음 우회 시도를 선택하기 위한 Playbookhttps://blog.mingon.dev/note/note-portswigger---cross-site-request-forgerycsrf-%ED%86%A0%ED%94%BD-%EC%A0%95%EB%A6%AC/Fri, 26 Jun 2026 14:00:00 +0900https://blog.mingon.dev/note/note-portswigger---cross-site-request-forgerycsrf-%ED%86%A0%ED%94%BD-%EC%A0%95%EB%A6%AC/CSRF의 성립 조건과 공격 구성 방식, XSS와의 차이, CSRF 토큰·SameSite·Referer 세 가지 방어와 각각의 우회 경로, 그리고 진단 방법과 대응 방안을 정리한 자료https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-lax-bypass-via-cookie-refresh/Thu, 25 Jun 2026 12:00:00 +0900https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-lax-bypass-via-cookie-refresh/기본 Lax 쿠키에만 적용되는 2분간의 POST 완화 구간을 OAuth 로그인 랜딩으로 재발급시켜 되살리고, rfc6265bis와 Chromium 구현에서 그 조건을 확인하는 풀이https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-strict-bypass-via-sibling-domain/Thu, 25 Jun 2026 09:00:00 +0900https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-strict-bypass-via-sibling-domain/Strict 쿠키로 막힌 CSWSH를 CORS 헤더로 발견한 sibling 도메인의 XSS를 발판 삼아 same-site 컨텍스트에서 성립시키고 챗 기록의 자격 증명을 유출하는 풀이https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-strict-bypass-via-client-side-redirect/Wed, 24 Jun 2026 18:00:00 +0900https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-strict-bypass-via-client-side-redirect/Strict 쿠키로 교차 사이트 요청이 막힌 환경에서 postId 파라미터를 따라가는 클라이언트 측 리다이렉트를 경로 탈출로 조작해 same-site 요청을 만들어내는 풀이https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-lax-bypass-via-method-override/Wed, 24 Jun 2026 15:00:00 +0900https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---samesite-lax-bypass-via-method-override/기본 Lax 정책이 최상위 GET 탐색만 허용하는 환경에서 _method 파라미터로 POST를 위장해 교차 사이트 이메일 변경을 성립시키는 풀이https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---csrf-vulnerability-with-no-defenses/Tue, 23 Jun 2026 09:00:00 +0900https://blog.mingon.dev/write-up/portswigger/csrf/write-up-portswigger---csrf-vulnerability-with-no-defenses/CSRF 토큰도 SameSite 제한도 없는 이메일 변경 기능에 폼 자동 제출 페이로드를 만들어 피해자의 이메일을 변경하는 기본 CSRF 풀이