XSS의 개념
크로스사이트 스크립트(XSS, Cross-Site Scripting)는 웹 보안 취약점의 일종으로, 해커가 웹사이트에 악성 스크립트를 주입하고, 악성 스크립트가 포함된 게시글을 열람하면 피해자들의 쿠키는 해커에게 전송됩니다.
이를 통해 해커는 피해자의 브라우저에서 스트립트를 실행해 사용자의 세션을 가로채거나, 웹사이트 변조하거나, 악의적인 컨텐츠 삽입하거나, 피싱 공격 등을 시도할 수 있게 됩니다.
XSS는 주로 JavaScript를 통해 이루어지며, 공격의 대상은 일반적으로 웹 애플리케이션 사용자입니다.
XSS의 종류
Reflected XSS
공격자가 특정 URL에 악성 스크립트를 포함하여 사용자가 이를 클릭하면, 해당 스크립트가 서버에서 즉시 반영되어 사용자 브라우저에서 실행됩니다. 일반적으로 피싱 공격 및 URL 공유를 통해 이루어집니다.
Persistent XSS
악성 스크립트가 서버에 저장되고, 이후 다른 사용자가 이를 요청할 때 악성 스크립트가 포함된 페이지가 제공됩니다. 일반적인 예로는 사용자 게시판, 댓글 시스템 등이 있습니다.
DOM 기반 XSS
클라이언트 사이드에서 발생하는 XSS로, DOM(Document Object Model)을 조작하여 발생합니다. 서버의 응답 내용을 수정하지 않고, 사용자의 브라우저에서 직접 자바스크립트를 실행시켜 공격하는 방식입니다.
XSS의 작동 방식
-
악성 스크립트 삽입: 공격자가 웹 애플리케이션에 악성 스크립트를 삽입합니다. 이는 일반적으로 입력 폼을 통해 이루어집니다.
-
스크립트 저장 또는 반영: 삽입된 스크립트가 서버에 저장되거나, 사용자가 특정 URL을 요청할 때 서버로부터 반영됩니다.
-
사용자 요청: 이 웹 페이지를 방문한 다른 사용자는 삽입된 스크립트가 포함된 페이지를 로드하게 됩니다.
-
악성 코드 실행: 사용자의 브라우저가 악성 스크립트를 실행함으로써, 공격자는 세션 정보, 쿠키, 사용자 입력 등의 데이터를 획득할 수 있습니다.
XSS 공격의 피해
-
세션 탈취: 사용자의 세션 쿠키를 훔쳐, 공격자가 사용자의 계정으로 로그인할 수 있습니다.
-
정보 유출: 개인 정보, 로그인 정보 등을 빼낼 수 있습니다.
-
피싱 사이트 구축: 사용자를 속이는 페이지를 생성할 수 있을 뿐 아니라, 사용자의 신뢰를 악용하여 정보를 요구할 수 있습니다.
-
웹 사이트의 변조: 페이지 내용을 변조하여 사용자를 속이거나, 악성 소프트웨어를 다운로드하게 할 수 있습니다.
XSS 방어 방법
-
입력 검증: 사용자의 입력값을 철저히 검증하고, 허용된 문자만 받아들입니다.
-
출력 인코딩: HTML, JavaScript, CSS 등에 데이터를 출력할 때, 적절히 인코딩하여 실행되지 않도록 합니다. 예를 들어 <는 <로, >는 >로 변환합니다.
-
CSP(Content Security Policy): Content Security Policy를 통해 페이지에서 실행할 수 있는 스크립트를 제한함으로써 XSS 공격의 가능성을 줄입니다.
-
HttpOnly, Secure 플래그 사용: 쿠키에 HttpOnly 및 Secure 플래그를 설정하여 클라이언트 사이드 스크립트에서 쿠키를 액세스할 수 없도록 합니다.
-
항상 요청 검증: CSRF(Cross-Site Request Forgery) 방어와 연결하여 CSRF 토큰을 사용한 검증을 적용합니다.
📌크로스사이트 스크립트(XSS)는 웹 애플리케이션의 취약점을 악용한 공격으로, 사용자와 데이터의 안전을 위협하는 심각한 문제입니다.
XSS 공격의 종류와 작동 방식을 이해하고, 적절한 방어 방법을 적용하는 것이 중요합니다. 웹 개발자는 보안 모범 사례를 따르면 이러한 공격을 예방할 수 있습니다.
