API 세션 하이재킹 재현하는 법

전제조건
- 대상 API 서버가 HTTP Only 쿠키를 사용하지 않거나, SameSite 속성이 설정되지 않은 경우
- 테스트용 계정(예: [email protected] / password123)과 해당 계정의 로그인 API 엔드포인트 URL을 알고 있음
- Burp Suite 혹은 mitmproxy 같은 프록시 도구가 설치돼 있고, 모바일/웹 클라이언트 트래픽을 가로챌 수 있음

단계 1. 로그인 세션 확보
1. 프록시를 통해 클라이언트(브라우저 혹은 모바일 앱)를 API 서버에 연결한다.
2. 로그인 요청을 전송하고, 응답 헤더에서 `Set‑Cookie` 값을 확인한다.
3. 쿠키 값(예: `sessionid=abcd1234`)을 복사한다. 이때 쿠키에 `HttpOnly` 플래그가 없고 `Secure`도 없으면 재현이 가능하다.

단계 2. 세션 탈취 시도
1. 같은 프록시를 이용해 별도의 악의적인 스크립트를 실행한다(예: XSS가 삽입된 페이지).
2. 탈취된 쿠키 값을 `document.cookie` 혹은 HTTP 요청 헤더에 직접 삽입한다.
3. 탈취된 쿠키를 사용해 `/me` 혹은 `/profile` 같은 인증이 필요한 엔드포인트에 요청을 보낸다.

단계 3. 권한 확인
1. 응답이 200 OK이며, 기대한 사용자 정보(예: 이메일, 권한 레벨)가 반환되면 세션 하이재킹에 성공한 것이다.
2. 401/403 응답이 오면 쿠키가 무효화됐거나, 서버가 추가 검증(예: IP 바인딩, User‑Agent) 을 수행하고 있는 것이므로 재현에 실패한 것이다.

성공/실패 판단 기준
- 성공: 탈취한 쿠키로 인증이 통과되고, 원본 사용자와 동일한 데이터에 접근 가능할 때.
- 실패: 쿠키가 거부되거나, 추가 검증으로 인해 세션이 재생성되는 경우.

주의사항
- 테스트 환경이 아닌 실제 서비스에 적용하면 법적 문제가 발생할 수 있으니, 반드시 사전 동의를 받으세요.
- 재현이 성공하면 `HttpOnly`, `Secure`, `SameSite=Strict` 설정을 즉시 적용하고, 세션 토큰 재발급 로직을 검토해야 합니다.