웹 앱 보안 - XSS 취약점

루카스 콜코

공격자는 XSS 공격을 통해 다른 사용자가 보는 웹 페이지에 클라이언트 측 스크립트를 삽입할 수 있습니다. 이 취약점의 주요 영향은 로그인한 사용자의 컨텍스트에서 모든 작업을 실행할 수 있고 로그인한 사용자의 컨텍스트에서 모든 데이터를 읽을 수 있다는 것입니다.

공격 시나리오

공격자는 피해자가 사용하는 웹사이트(예: 은행 웹사이트)에서 XSS 취약점을 찾습니다.
피해자가 현재 이 페이지에 로그인한 상태입니다.
공격자가 피해자에게 조작된 URL을 보냅니다.
피해자가 URL을 클릭합니다.
피해자의 은행 웹사이트, JavaScript 코드 사용자의 데이터를 가로채거나 공격자의 계정으로 사용자 대신 전송을 실행하기 위해 실행을 시작합니다.

피해자를 대신하여 수행되는 작업은 은행의 API를 사용하여 백그라운드에서 수행되거나 공격자가 인증, 토큰, 쿠키 등에 필요한 데이터를 사용하여 나중에 수행할 수 있으므로 피해자에게 보이지 않을 수 있다는 점에 유의할 필요가 있습니다.

이는 매개변수(예: GET, POST 또는 쿠키)에 포함된 HTML/JavaScript 코드가 응답으로 표시되는 경우입니다.

매개변수를 입력하는 텍스트를 검색할 수 있는 페이지입니다. ?search=foo 를 URL 끝에 추가해야 합니다. 구문을 입력한 후 해당 구문을 찾을 수 없는 경우 반환 메시지가 HTML ex.

<div>에 대한 결과를 찾을 수 없습니다. <b>foo</b></div>

URL을 입력해 볼 수 있습니다. ?search=..

JavaScript에서 다음과 같은 위험한 기능을 사용하여 실행이 활성화된 경우입니다. `eval` 또는 `innerHtml`. 아래의 '라이브 예제'는 DOM XSS 공격에 대한 `innerHtml` 함수입니다.

서버 측에서 악성 코드가 작성되는 경우입니다. 예를 들어, 서버에 업로드된 블로그 게시물에 악성 코드가 포함된 댓글을 보낼 수 있습니다. 예를 들어 관리자의 검토를 기다렸다가 세션 데이터를 훔치는 등의 작업을 수행합니다.

1. 태그 콘텐츠에서

`onerror=alert('XSS')`에

<img src onerror="alert('XSS')" />

2. 속성 내용에서

`" onmouseover=alert('XSS')` 에

<div class="" onmouseover="alert('XSS')""></div>

x onclick=alert('XSS')에

<div class="x" onclick="alert('XSS')"></div>

javascript:alert('XSS') 에

<a href="javascript:alert('XSS')"></a>

";alert('XSS')// 에

<script>let username="";alert('XSS')//";</script>

');alert('XSS')// 어디 ' 는 작은따옴표로

<div onclick="change('&#39;);alert('XSS')//')">John</div>

%27);alert(1)// 어디 %27 는 작은따옴표로

<a href="javascript:change('');alert(1)//')">클릭</a>

많은 기본 제공 함수를 사용한 데이터 인코딩 프로그래밍 언어.
자동 인코딩이 있는 템플릿 시스템 사용. 이러한 시스템을 사용하는 대부분의 인기 있는 프레임워크는 XSS 인젝션으로부터 사용자를 보호합니다(Django, 템플릿, Vue, React 등).
다음과 같은 기능을 사용하지 마십시오. 평가 또는 기능 신뢰할 수 없는 사용자 데이터로.
HTML 코드를 DOM 트리 요소에 직접 할당하는 함수 및 속성을 사용하지 마십시오, innerHTML, outerHTML, insertAdjacentHTML, ocument.write. 대신 다음과 같이 이러한 요소에 직접 텍스트를 할당하는 함수를 사용할 수 있습니다. 텍스트 콘텐츠 또는 내부 텍스트.
사용자를 자신이 제어할 수 있는 URL로 리디렉션할 때는 주의하세요. 인젝션 위험 위치 = 'javascript('XSS')'.
다음과 같은 라이브러리를 사용하여 HTML을 필터링합니다. DOMPurify.
업로드 시 주의 사항 .html 또는 .svg 파일을 업로드할 수 있습니다. 업로드한 파일을 제공할 별도의 도메인을 만들 수 있습니다.
사용 콘텐츠 보안 정책 메커니즘.
대부분의 인기 브라우저에 내장된 XSS 방지 필터를 살펴보세요.
이 글이 흥미로웠다면 Github에서 Lukasz를 팔로우하세요: https://github.com/twistezo