XSS – Reflected (PHP_SELF)

XSS – Reflected (PHP_SELF)

- 웹 서버가 실행 중인 현재 웹 페이지의 경로를 나타내며 $_SERVER에 속하는 속성이다.   

 

Level (Low)

First name 123 Last name 123 데이터를 입력했다.

그림 1-1 데이터 입력

<script>document.write(document.cookie)</script>를 입력하면 쿠키 값이 노출되는 것을 알 수 있다.

그림 1-2 쿠키 값

이번에는 URL 주소에 />스크립트를 닫아주고 를 입력하면 그림 1-3처럼 경고창을 보여준다.

그림 1-3 스크립트 동작

대응방안

htmlspecialchars 함수를 호출하여 입력 데이터를 UTF-8로 인코딩한다. 두 번째 인자에 ENT_QUOTES를 추가하여 XSS에 사용되는 특수 문자들을 HTML 엔티티 코드로 변환하여 스크립트 코드를 입력하여도 웹 브라우저에서는 문자로 인식한다.

그림 1-4 functions_external.php 소스코드