<div id="readability-page-1" class="page"><div>
                
                                <div id="SE-ea254aa0-59d5-4128-90b7-27a9d7b719de">
                            <p id="SE-ed3072a5-2333-446a-80bf-c009f61ec831"><span id="SE-615bec3f-bec0-45c1-85a4-6d4cdbe9ae4c"><b>1. XSS (Cross-site scripting) 이란?</b></span></p>
                        </div>                <div id="SE-d459caec-2477-40a7-89b3-735600cf0535">
                            <blockquote>
                                <div><p id="SE-e52d2cc3-80d1-4013-bffc-db078b8c19fa"><span id="SE-40e1c267-3148-4fc9-bc96-c2885c39da15"><i>크로스 사이트 스크립팅 (XSS)은 공격자가 웹사이트에 악성 클라이언트 사이드 코드를 삽입할 수 있도록 하는 보안 취약점 공격입니다. 이 악성 코드는 피해자에 의해 실행되며 공격자가 접근 제어를 우회하고 사용자로 위장할 수 있게 만들어 줍니다. 오픈 웹 애플리케이션 보안 프로젝트에 따르면, XSS는 2017년에 </i></span><span id="SE-b7081b54-b704-4bbd-8acd-4088df1bab08"><u><i>7번째로 흔한 웹 앱 취약점</i></u></span><span id="SE-ca289fd2-cd63-401e-bbb7-e80c79b01868"><i>이었습니다.</i></span></p><p id="SE-4f5c58ef-e938-40ea-bb08-455546e030ef"><span id="SE-1e8c52af-8c9d-4e0f-a07c-9551781829ef"><i>웹 앱이 충분한 유효성 검사나 인코딩을 사용하지 않으면 이러한 공격은 성공하게 됩니다. 사용자의 브라우저는 신뢰할 수 없는 악성 스크립트를 탐지할 수 없고, 쿠키, 세션 토큰 또는 기타 민감한 사이트별 정보에 대한 접근 권한을 부여해버리거나 악성 스크립트가 </i></span><span id="SE-bb0e64b0-e571-4d8a-8187-737a78a481d0"><u><i>HTML</i></u></span><span id="SE-83f6d49e-1f9d-43cf-be23-02b1c6e15855"><i> 콘텐츠를 다시 작성할 수 있도록 합니다.</i></span></p></div>
                                <p id="SE-ca312adb-e861-4c81-a89d-a58c2a37e364"><span id="SE-b801d87c-296f-4a1d-a165-2df66e81fbc4">MDN</span></p>
                            </blockquote>
                        </div>
                <div id="SE-c64b78fa-b9c4-4405-bc59-ed35ab284984">
                                    <p id="SE-8c22a732-f20c-4e2a-a4af-8e15f9d62a6d"><span id="SE-dc605530-ed81-486c-841b-caae6b3260bc"><b>2. XSS 테스트를 위한 코드</b></span></p><p id="SE-3cd02475-1f28-4b7b-b5be-0508f50fd6ba"><span id="SE-065f4ef6-0182-4e2c-b999-e793a5693f76">​</span></p><p id="SE-4999b3f9-54c6-43ac-88d0-1dda4dd9c39f"><span id="SE-5985d1c0-1031-4b22-9eb5-7b0f748f8fa5">js, html 작성</span></p>
                            </div>                <div id="SE-6977f4b0-5164-43ef-83f5-1eadc6e1c1c3">
                                    <p>&lt;!DOCTYPE html&gt;
&lt;html lang="en"&gt;
  &lt;head&gt;
    &lt;meta charset="UTF-8" /&gt;
    &lt;title&gt;Insecure&lt;/title&gt;
  &lt;/head&gt;
  &lt;body&gt;
    &lt;h1&gt;insecure website&lt;/h1&gt;
    &lt;div&gt;
      &lt;label&gt;검색&lt;/label&gt;
      &lt;input type="text" id="search-input" /&gt;
      &lt;button id="submit-button"&gt;확인&lt;/button&gt;
    &lt;/div&gt;
    &lt;br&gt;
    &lt;div&gt;
      &lt;span&gt;검색값: &lt;/span&gt;
      &lt;span id="search-input-result"&gt;&lt;/div&gt;
    &lt;/div&gt;

    &lt;script type="module" src="main.js"&gt;&lt;/script&gt;
  &lt;/body&gt;
&lt;/html&gt;
</p>
                                </div>                <div id="SE-ccdc83d3-b107-4ca6-9f02-a2e5ca21f63a">
                                    <p>const searchInput = document.querySelector("#search-input");
const submitButton = document.querySelector("#submit-button");
const searchInputResult = document.querySelector("#search-input-result");
const urlParams = new URLSearchParams(window.location.search);

submitButton.addEventListener("click", submitSearchInput);

function submitSearchInput() {
  searchInputResult.innerHTML = searchInput.value;
}
</p>
                                </div>                <div id="SE-868ba155-5546-462a-9b4b-2c349da9f1e3">
                                    <p id="SE-520dd90a-77e1-475b-a0fc-77ba81ad4564"><span id="SE-dd52d003-57f5-4e3a-9586-0eb4b0332a9d">​</span></p><p id="SE-16597a6d-d358-4de9-b551-9c5254c6dfff"><span id="SE-373e9606-9b23-4bc3-a7db-82b6849e39b4">​</span></p><p id="SE-9b417e3d-0d09-44ea-9626-b11a1a593e8c"><span id="SE-da599d75-e94a-46ab-95e8-bf8cb0a596c2"><b>3. XSS 테스트</b></span></p><p id="SE-f50368f3-91e3-4334-9ff7-7f7fbc7f5f73"><span id="SE-55acd83a-2a99-48fd-aa68-18f4b1bfe1af">​</span></p><p id="SE-1d47a74a-dc58-4993-a708-37d770ee39fe"><span id="SE-f377ec75-fe30-4f10-aea0-8cd923808753">input 에 아래와 같은 img 태그를 추가하여 xss 를 실행할 수 있다.</span></p>
                            </div>                <div id="SE-38b34e06-e982-4f50-96cb-c8051ed41af0">
                                    <p>&lt;img src='x' onerror='alert("공격")'&gt;</p>
                                </div>                <div id="SE-b1e4d84a-3979-4c3f-8941-06155fbee0e9">
                                    <p id="SE-48494404-2713-4d10-833f-384cf46e05d2"><span id="SE-d3a40de9-1705-4f43-80b7-4f62148f4d5c">img 의 src 가 유효하지 않으니 onerror 에 있는 함수가 실행되게 되기 때문이다.</span></p><p id="SE-3c87607d-7425-42c2-a275-98e1fe68cd1e"><span id="SE-fe945519-828e-493d-8c1e-1cb94b6964a6">만약, alert 와 같은 단순한 xss 공격이 아니라 세션하이재킹과 같이 세션정보를 다른 서버로 보내는 xss 공격이 실행되면 꽤나 위협적일 것이다.</span></p>
                            </div>                <div id="SE-a9fcee0c-9319-43c2-bd2f-e6cf4c4c9bab">
                                <p><a href="#" onclick="return false;" data-linktype="img" data-linkdata="{&quot;id&quot; : &quot;SE-a9fcee0c-9319-43c2-bd2f-e6cf4c4c9bab&quot;, &quot;src&quot; : &quot;https://mblogthumb-phinf.pstatic.net/MjAyNTA5MTdfMTk3/MDAxNzU4MDg4MTk2NDIy.6cP0sMsasXtmxLCIp_fKqKaaq-Bbm4t3buCYgCEB-pAg.bkk6up6ol6RbBntmwRlk1EkgzBjCh88TW_3ws8vDgZMg.PNG/%EC%8A%A4%ED%81%AC%EB%A6%B0%EC%83%B7_2025-09-17_%EC%98%A4%ED%9B%84_2.49.52.png&quot;, &quot;originalWidth&quot; : &quot;593&quot;, &quot;originalHeight&quot; : &quot;194&quot;, &quot;linkUse&quot; : &quot;false&quot;, &quot;link&quot; : &quot;&quot; }">
                                        <img src="https://mblogthumb-phinf.pstatic.net/MjAyNTA5MTdfMTk3/MDAxNzU4MDg4MTk2NDIy.6cP0sMsasXtmxLCIp_fKqKaaq-Bbm4t3buCYgCEB-pAg.bkk6up6ol6RbBntmwRlk1EkgzBjCh88TW_3ws8vDgZMg.PNG/%EC%8A%A4%ED%81%AC%EB%A6%B0%EC%83%B7_2025-09-17_%EC%98%A4%ED%9B%84_2.49.52.png?type=w800" data-width="593" data-height="194" alt="">
                                    </a>
                                </p>
                        </div>
                <div id="SE-7d9cbcdc-01c4-4738-8ef6-f86de936a350">
                                    <p id="SE-4bd25293-252f-4218-8793-f9dcb9e174f4"><span id="SE-048388e7-c29b-45b2-9b26-25a254857eac">​</span></p><p id="SE-1278ee6b-6d6f-4d75-a9fe-152813d55048"><span id="SE-fcf60a1e-4198-48d1-a1d8-754521b2a315">​</span></p><p id="SE-80ff75e9-5f23-443c-a7a3-1950601cf0c9"><span id="SE-fa9cefbf-57c5-4ba5-9d9e-8f8b7fad16c8"><b>4. XSS 방어</b></span></p><p id="SE-fd4d8203-39fb-43f6-a024-e2fc926e39b4"><span id="SE-9d974226-94a0-4720-9914-b0619eb3c2eb">​</span></p><p id="SE-0e091860-efa8-4561-8783-7960028ca5c4"><span id="SE-371649a8-fe27-4421-bef4-a90a4eddc92c">XSS 를 방어하기 위한 기법은 여러가지가 있다. 대표적인 방어기법으로는 'escape' 를 통한 방어와 'sanitize' 를 통한 방어가 있다. </span></p><p id="SE-689e1500-1d5c-4900-9340-054fd1177c01"><span id="SE-094b7b6e-d243-484b-b61b-24180a45bd0a">​</span></p><ul><li><p id="SE-7782aa74-2155-4f51-adbe-7cdce1c66ca4"><span id="SE-62837529-9ce2-4f3f-9b2f-b6473af422fa">escape : </span></p></li></ul><p id="SE-924cb65a-a505-46d8-babc-efe8ac953ab3"><span id="SE-24305c3d-82cd-4680-8470-562ee8d6e1cc">escape 란 아래와 같이 태그기호를 변경하는것이다.</span></p><p id="SE-8ad526c1-865f-42be-acb9-49d6ded63530"><span id="SE-e7f6b652-ef86-4fe1-a9be-ecdccd1d5dd1">(리액트에서 jsx 를 변환시킬때 이 방법을 사용하여 xss 공격을 방어한다고 한다)</span></p>
                            </div>                <div id="SE-7b7f69e6-afc4-460c-953d-1aa50c1e4c36">
                                    <p>&lt; becomes &amp;lt;
&gt; becomes &amp;gt;

# script 태그는 아래처럼 변환됩니다. 
&lt;script&gt; -&gt; &amp;lt;script&amp;gt;
</p>
                                </div>                <div id="SE-d7705d4b-9ffd-4907-9ecb-11416cd6b448">
                                    <ul><li><p id="SE-7e2daa3e-d61c-4643-af53-0ecb9b3b3be5"><span id="SE-c5670e0c-be6a-4031-aca8-1661de515df5">sanitize :</span></p></li></ul><p id="SE-e47a1f2b-3899-43b9-97d1-9472c614f56a"><span id="SE-08d0ef74-82b7-4345-92ae-bf237dc30d9b">sanitize 란 정해진 규칙에 따라 위험하다고 판단되는 부분들을 필터링 (제거) 하는 방식이다. 대표적인 라이브러리로 dompurify 가 있다.</span></p>
                            </div>                
                <div id="SE-5948f71b-eb98-4ecf-87c9-1bdd85045851">
                                    <p>DOMPurify.sanitize('&lt;img src=x onerror=alert(1)//&gt;'); // becomes &lt;img src="x"&gt;
DOMPurify.sanitize('&lt;svg&gt;&lt;g/onload=alert(2)//&lt;p&gt;'); // becomes &lt;svg&gt;&lt;g&gt;&lt;/g&gt;&lt;/svg&gt;
DOMPurify.sanitize('&lt;p&gt;abc&lt;iframe//src=jAva&amp;Tab;script:alert(3)&gt;def&lt;/p&gt;'); // becomes &lt;p&gt;abc&lt;/p&gt;
DOMPurify.sanitize('&lt;math&gt;&lt;mi//xlink:href="data:x,&lt;script&gt;alert(4)&lt;/script&gt;"&gt;'); // becomes &lt;math&gt;&lt;mi&gt;&lt;/mi&gt;&lt;/math&gt;
DOMPurify.sanitize('&lt;TABLE&gt;&lt;tr&gt;&lt;td&gt;HELLO&lt;/tr&gt;&lt;/TABL&gt;'); // becomes &lt;table&gt;&lt;tbody&gt;&lt;tr&gt;&lt;td&gt;HELLO&lt;/td&gt;&lt;/tr&gt;&lt;/tbody&gt;&lt;/table&gt;
DOMPurify.sanitize('&lt;UL&gt;&lt;li&gt;&lt;A HREF=//google.com&gt;click&lt;/UL&gt;'); // becomes &lt;ul&gt;&lt;li&gt;&lt;a href="//google.com"&gt;click&lt;/a&gt;&lt;/li&gt;&lt;/ul&gt;</p>
                                </div>                <div id="SE-4f00b2a8-15a8-4613-af5e-ac6112b9d234">
                                    <p id="SE-1e8a4fde-5c9f-40fb-96f5-860440dab20d"><span id="SE-bf137b72-c306-43fd-a292-8cb70808994a">​</span></p><p id="SE-6105a266-4b8d-4123-95b8-e5bed9611c20"><span id="SE-a4ea18a4-ada5-484e-a833-56b3388a1b98"><b>5. 정리</b></span></p><p id="SE-5933dc4f-b7db-4f4c-a61d-5c2d12ed49b7"><span id="SE-ed58e80c-7c00-4a37-a7c2-9f9b646ee270">​</span></p><p id="SE-d4db9512-ed35-4c2d-9007-0dcd863f5844"><span id="SE-9a2b6031-86ba-4e10-b103-90a837be7c61">XSS 는 위에서 설명했듯이 공격자가 웹사이트에 악성 클라이언트 사이드 코드를 삽입하는 공격 행위를 말한다. 즉, XSS 는 수 많은 다른 공격 방식의 기점이 된다고 보면 된다.</span></p>
                            </div>    </div></div>

나만의공간。

KIM JUNGHWAN

1. XSS (Cross-site scripting) 이란? 크로스 사이트 스크립팅 (XSS)은 공격자가 웹사이트에 악성 클라이언트 사이드 코드를 삽입할 수 있도록 하는 보안 취약점 공격입니다. 이 악성 코드는 피해자에 의해 실행되며 공격자가 접근 제어를 우회하고 사용자로 위장할 수 있게 만들어 줍니다. 오픈 웹 애플리케이션 보안 프로젝트에 따르면, XSS는 2017년에 7번째로 흔한 웹 앱 취약점이었습니다. 웹 앱이 충분한 유효성 검사나 인코딩을 사용하지 않으면 이러한 공격은 성공하게 됩니다. 사용자의 브라우저는 신뢰할 수 없는 악성 스크립트를 탐지할 수 없고, 쿠키, 세션 토큰 또는 기타 민감한 사이트별 정보에 대한 접근 권한을 부여해버리거나.......

[HTTP] 크로스 사이트 스크립팅 (XSS)

댓글