XSS – Reflected(GET)

XSS – Reflected(GET)

- 웹 페이지 URL에 존재하는 파라미터에 악의적인 스크립트 코드를 입력하여 사용자가 URL 클릭하면 파라미터에 입력한 악성 스크립트 코드가 실행되는 공격이다.

 

Level (Low)

First name 1234 Last name 1234를 입력해 URL 주소와 Welcome 1234를 확인할 수 있다.

그림 1-1 데이터 입력

<script>alert(1)</script>, <script>document.write(document.cookie)</script>를 입력해 쿠키 값을 확인할 수 있다.

그림 1-2 스크립트

Level (High)

그림 1-1처럼 스크립트 언어를 입력하면 그대로 노출되는 것을 알 수 있다.

그림 1-3 스크립트

대응방안

htmlspecialchars 함수를 호출하여 입력 데이터를 UTF-8로 인코딩한다. 두 번째 인자에 ENT_QUOTES를 추가하여 XSS에 사용되는 특수 문자들을 HTML 엔티티 코드로 변환하여 스크립트 코드를 입력하여도 웹 브라우저에서는 문자로 인식한다.