XSS – Change Secret

Level (Low)

<script> alert(1)</script> 스크립트를 입력했는데 The secret has been changed! 메시지를 보여준다.

그림 1-1 Change secret

대응방안

htmlspecialchars 함수를 호출하여 입력 데이터를 UTF-8로 인코딩한다. 두 번째 인자에 ENT_QUOTES를 추가하여 XSS에 사용되는 특수 문자들을 HTML 엔티티 코드로 변환하여 스크립트 코드를 입력하여도 웹 브라우저에서는 문자로 인식한다.

그림 1-2 functions_external.php 소스코드