서버보안

본 토픽은 현재 준비중입니다. 공동공부에 참여하시면 완성 되었을 때 알려드립니다.

XSS(크로스 사이트 스크립팅)

XSS : cross-site scripting

 

게시판에 <script>alert('test!');</script> 해서 올린후 경고창에 test! 라고 뜬다면

XSS에 대비하지 않은 게시판입니다.

 

웹사이트 개발자 입장에서는 웹 브라우저를 신뢰하면 안 되며, 링크나 입력폼 언제든 공격에 이용될 수 있음에 유의 해야 한다.

바보같은 개발자들은 클라이언트 측 보안으로 충분하다고 착각하고 입력 데이터를 따로 검증하지 않는다.

JSON을 이용하는 웹사이트 방어의 최선의 방법은 자바스크립트 개발 프레임워크를 사용하는 것.

Dojo, Direct Web Remoting, Google Web Toolkit, MooTools, jQuery,Prototype,YUI

 

검색엔진에서 '<title><script' 로 검색해 보자.

검색결과 <script src="http://xxx.x.cn/xxxx -> XSS 공격에 해당된다.

 

UTF-7

+ADw-script+AD4- 는 <script> 로 해석된다.

+와 -는 인코딩의 시작과 끝.

-> 메타 태그에 UTF-8을 지정하여 해결할 수 있다.

<meta http-equiv="Content-Type" content="text/html;charset=utf-8" />

 

퍼센트 인코딩 공격

소스코드를 출력.

IIS 에서 /login.asp 대신 /login%2easp

퍼센트 인코딩은 z의 16진수가 0x7a 이므로 URI 에서 %7a 로 인코딩 된다.

zombie -> %7ㅁ%6ㄹ%6ㅇ%62%69%65

 

 

 

 

댓글

댓글 본문
작성자
비밀번호
버전 관리
Frank
현재 버전
선택 버전
graphittie 자세히 보기