IT / 취약점

XSS 취약점(1) : 실습으로 배우는 웹 보안 강화 방법

by

XSS

안녕하세요! 오늘은 XSS 기법에 대해 상세히 알아보겠습니다.

XSS(크로스 사이트 스크립팅)는 웹 보안에 중요한 주제로, 악의적인 사용자들이 웹 페이지에 악성 스크립트를 삽입하여 다른 사용자들을 공격하는 기법이며 매우 흔한? 기법이기도 하죠.

이 글에서는 XSS의 작동 방식, 공격 유형, 예방 방법 등을 다룰 예정입니다.

1. XSS란?

1.1 XSS 개념

XSS는 크로스 사이트 스크립팅의 약자로, 웹 애플리케이션에서 발생하는 보안 취약점 중 하나입니다.

공격자는 웹 페이지에 악성 스크립트를 삽입하여 해당 스크립트를 실행시키고, 이를 통해 사용자들을 공격하거나 개인 정보를 탈취할 수 있습니다.

1.2 XSS의 작동 방식

XSS는 주로 두 가지 방식으로 작동합니다:

1.2.1 저장형 XSS (Stored XSS)

저장형 XSS는 악성 스크립트가 웹 서버에 저장되고, 사용자들이 해당 웹 페이지를 요청할 때마다 스크립트가 실행되는 형태입니다.

이는 주로 게시판, 댓글 등에 악성 스크립트가 삽입되어 발생할 수 있습니다.

<div>
<h1>환영합니다!</h1>
<p>오늘의 특별 이벤트: <%= maliciousScript() %></p>
</div>

1.2.2 반사형 XSS (Reflected XSS)

반사형 XSS는 악성 스크립트가 URL 파라미터 등을 통해 사용자의 브라우저에 직접 삽입되고, 해당 스크립트가 실행되는 형태입니다.

주로 사용자들에게 피싱 링크를 클릭하도록 유도하여 발생할 수 있습니다.

<p>검색 결과: <%= maliciousScript(request.getParameter("query")) %></p>

2. XSS의 유형

2.1 DOM 기반 XSS (Dom Based XSS)

DOM 기반 XSS는 Document Object Model을 이용한 공격으로, 클라이언트 측에서 스크립트가 실행될 때 발생합니다.

보안 취약점을 갖는 웹 페이지의 DOM을 조작하여 악성 스크립트를 실행시키는 것이 특징입니다.

<script>
var message = document.getElementById("message").value;
document.write("메시지 내용: " + message);
</script>

2.2 저장소 기반 XSS (Stored Based XSS)

저장소 기반 XSS는 서버 측에서 발생하는 공격으로, 사용자 입력값을 적절히 필터링하지 않거나 인코딩하지 않은 경우 발생할 수 있습니다.

이로 인해 악성 스크립트가 웹 서버에 저장되고, 다른 사용자들에게 전달될 때 실행됩니다.

<p>저장된 댓글: <%= maliciousScript(savedComment) %></p>

2.3 Reflected XSS

Reflected XSS는 주로 검색 쿼리나 URL 파라미터 등에 악성 스크립트가 담겨 사용자에게 전달되는 공격입니다.

사용자가 해당 URL을 클릭하거나 검색을 실행할 때 스크립트가 실행되는 방식으로 작동합니다.

<p>검색 결과: <%= maliciousScript(searchQuery) %></p>

3. XSS 공격 방지 방법

3.1 입력값 검증 및 인코딩

입력값 검증은 웹 애플리케이션이 사용자 입력을 받을 때, 적절한 필터링과 형식 검사를 통해 유효한 데이터만을 허용하는 것을 의미합니다.

또한, 모든 출력 데이터는 적절히 인코딩하여 악성 스크립트가 실행되지 않도록 방지해야 합니다.

String userInput = request.getParameter("input");
if (!isValidInput(userInput)) {
// 입력값 검증 실패 처리
}

3.2 HttpOnly 플래그 사용

HttpOnly 플래그는 쿠키를 설정할 때 사용하는 옵션으로, JavaScript를 통해 쿠키에 접근하는 것을 방지합니다.

이를 통해 XSS 공격자가 쿠키를 탈취하는 것을 어렵게 만들 수 있습니다.

response.setHeader("Set-Cookie", "sessionID=abcdefg; HttpOnly");

3.3 Content Security Policy (CSP) 적용

CSP는 웹 애플리케이션에서 실행되는 리소스들을 제한함으로써 XSS 공격을 예방하는 보안 방식입니다.

CSP를 통해 허용된 리소스 외에는 실행되지 않도록 설정할 수 있습니다.

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self' 'unsafe-inline';">

4. XSS 예방을 위한 보안 대책

XSS(크로스 사이트 스크립팅) 공격을 방지하기 위해 다양한 보안 대책을 적용할 수 있습니다. 이러한 보안 대책은 주로 입력값 검증, 출력 시 인코딩, CSP(Content Security Policy) 적용 등을 포함합니다.

  1. 입력값 검증: 사용자로부터 받은 모든 입력값은 적절한 검증과 정제가 필요합니다. 이를 통해 유효한 데이터만을 받아들이고, 악성 스크립트가 삽입되는 것을 방지할 수 있습니다. 입력값 검증은 화이트리스트(whitelist) 방식으로 진행됩니다. 화이트리스트는 허용된 문자만을 명시하여, 그 이외의 문자들은 거부하는 방식입니다.예를 들어, 사용자가 이름을 입력하는 필드에서는 알파벳, 숫자, 일부 특수문자(예: 공백, 하이픈)만을 허용하는 화이트리스트를 적용합니다. 그 외의 스크립트 태그, HTML 태그 등은 모두 거부됩니다.
  2. 출력 시 인코딩: 웹 페이지에서 사용자로부터 받은 데이터를 출력할 때는 인코딩을 적용하여 스크립트가 실행되지 않도록 해야 합니다. 특히, 사용자 입력값이 웹 페이지 내에서 동적으로 생성되는 HTML 태그의 일부로 사용될 경우 인코딩을 통해 태그로 인식되지 않도록 처리합니다.주요 인코딩 방식으로는 다음과 같이 두 가지가 있습니다:
    • HTML 엔티티 인코딩: 예를 들어 <는 &lt;, >는 &gt;와 같이 변환하여 출력합니다.
    • JavaScript 문자열 인코딩: 예를 들어 따옴표를 \', 쌍따옴표를 \"로 변환하여 출력합니다.
  3. Content Security Policy (CSP) 적용: CSP는 웹 애플리케이션에서 실행되는 리소스들의 출처를 지정하여 실행 여부를 결정하는 보안 방식입니다. 웹 사이트의 CSP 정책에 따라 스크립트 실행, 스타일시트 로드, 이미지 표시 등이 허용되거나 제한됩니다. CSP를 적용함으로써 악성 스크립트의 실행을 방지할 수 있습니다.CSP를 적용하기 위해 HTTP 헤더에 Content-Security-Policy를 설정하거나 <meta> 태그에 http-equiv 속성을 사용하여 CSP를 지정할 수 있습니다.
  4. HttpOnly 플래그 사용: 쿠키를 설정할 때 HttpOnly 플래그를 사용하면 JavaScript를 통해 쿠키에 접근하는 것을 방지할 수 있습니다. 이를 통해 XSS 공격자가 쿠키를 탈취하는 것을 어렵게 만듭니다.
  5. 웹 보안 테스트: 정기적으로 웹 보안 테스트를 수행하여 XSS 취약점을 발견하고 조치할 수 있습니다. 보안 전문가들과 협력하여 보다 견고한 웹 애플리케이션을 구축할 수 있습니다.

이러한 XSS 보안 대책을 함께 적용함으로써 웹 애플리케이션을 보다 안전하게 유지할 수 있으며, 사용자들의 개인 정보와 재산을 보호할 수 있습니다. XSS 공격으로부터 사용자들을 보호하기 위해 반드시 이러한 대책들을 운영하도록 하세요.

 

5. 실제 XSS 피해 사례

XSS(크로스 사이트 스크립팅) 공격은 다양한 웹 사이트와 서비스에서 발생하였으며, 이로 인해 많은 사용자들이 피해를 입었습니다.

하나의 실제 사례는 “은행 웹 사이트를 통한 개인 정보 유출”입니다.

해당 은행의 웹 사이트는 고객들이 계좌 정보를 조회하고 거래를 처리하는데 사용되고 있었습니다.

그러나 웹 사이트에서 적절한 보안 대책을 취하지 않아, 악의적인 사용자가 악성 스크립트를 삽입하는데 성공하였습니다.

악성 스크립트는 사용자들이 로그인할 때마다 실행되었습니다. 이로 인해 고객들의 로그인 정보가 해커에게 노출되었고, 해커는 이를 이용하여 계좌를 해킹하고 자금을 탈취했습니다.

또한, 해커는 해당 웹 사이트의 취약점을 이용하여 피싱 링크를 전송하고, 사용자들이 이를 클릭하면 개인 정보를 입력하도록 유도했습니다. 이로 인해 다수의 사용자들이 개인 정보 유출에 휘말렸으며, 금융적인 피해도 발생하였습니다.

이와 같은 사례를 통해 XSS 공격의 위험성과 중요성을 깨닫게 되었습니다. 적절한 보안 대책을 취하지 않은 웹 사이트와 서비스들은 악의적인 공격에 취약하며, 사용자들의 개인 정보와 재산을 보호하는 것이 중요함을 알 수 있습니다. 따라서 모든 웹 개발자들과 기업들은 웹 보안에 신경을 쓰고, XSS와 같은 공격으로부터 사용자들을 보호할 수 있는 안전한 웹 환경을 구축하는 데 주력해야 합니다.

 

6. 주요 XSS(크로스 사이트 스크립팅) 공격 시나리오

XSS 공격은 악의적인 사용자가 웹 애플리케이션에 악성 스크립트를 삽입하여 해당 스크립트가 다른 사용자들에게 실행되도록 유도하는 공격입니다. XSS 공격 시나리오는 다음과 같이 진행됩니다:

  1. 공격 대상 선택: 공격자는 특정 웹 사이트 또는 웹 페이지를 공격 대상으로 선택합니다. 주로 인기 있는 웹 사이트나 로그인 페이지 등이 대상이 될 수 있습니다.
  2. 악성 스크립트 작성: 공격자는 악성 스크립트를 작성합니다. 이 스크립트는 공격자가 원하는 동작을 수행하거나, 사용자의 정보를 탈취하는 등의 악의적인 목적을 가지고 있습니다.
  3. 취약점 발견: 공격자는 대상 웹 사이트나 웹 페이지에서 XSS 취약점을 찾습니다. 이 취약점은 주로 사용자 입력값을 적절히 필터링하지 않거나, 출력할 때 인코딩하지 않는 등의 보안 결함으로 인해 발생합니다.
  4. 악성 스크립트 삽입: XSS 취약점을 찾은 공격자는 악성 스크립트를 웹 사이트에 삽입합니다. 이를 위해 주로 게시판의 댓글, 검색어 입력란, 사용자 입력 폼 등을 이용합니다.
  5. 사용자 유도: 악성 스크립트가 실행되도록 사용자를 유도합니다. 이를 위해 공격자는 피싱 링크를 전송하거나, 악의적인 광고를 게재하여 사용자들이 해당 링크를 클릭하도록 유도합니다.
  6. 악성 스크립트 실행: 사용자가 악성 스크립트가 담긴 웹 페이지를 열거나 링크를 클릭하면, 해당 스크립트가 실행됩니다. 이로 인해 사용자의 브라우저에서는 공격자가 의도한 악의적인 동작이 수행됩니다.
  7. 정보 유출 또는 공격: 악성 스크립트가 실행되면, 사용자의 브라우저에서는 주로 개인 정보가 유출되거나, 사용자가 로그인한 세션 정보가 탈취됩니다. 또한, 공격자가 의도한 특정 동작(예: 자금 이체)을 수행하는 등의 공격이 이루어질 수 있습니다.
  8. 피해 확인: 공격자는 악성 스크립트 실행으로 인한 피해를 확인합니다. 피해는 사용자의 개인 정보 유출, 금전적 손실, 신용카드 정보 도용 등 다양한 형태로 나타날 수 있습니다.

XSS 공격은 사용자들을 대상으로 한 소셜 엔지니어링 기법과도 결합되어 발생할 수 있으며, 이로 인해 많은 사용자들이 피해를 입을 수 있습니다. 따라서 모든 웹 사이트와 웹 애플리케이션은 적절한 보안 대책을 취하여 XSS 공격으로부터 사용자들을 보호해야 합니다.

결론

XSS 기법은 웹 보안에 치명적인 위협으로 작용할 수 있습니다. 하지만 적절한 보안 대책을 적용하고, 사용자 입력값을 신중히 처리한다면 XSS 공격을 예방할 수 있습니다. 웹 개발자들은 보안을 고려한 코드 작성과 웹 보안 전문가들과의 협력을 통해 안전한 웹 환경을 구축하는 데 주력해야 합니다.

FAQs

1. XSS 공격은 누구에게 피해를 입힐 수 있나요? XSS 공격은 웹 페이지에 접속하는 모든 사용자에게 피해를 입힐 수 있습니다. 악성 스크립트로 인해 개인 정보가 유출되거나, 금융 정보가 탈취될 수 있습니다.

2. XSS 공격은 어떻게 발견할 수 있나요? 웹 개발자들은 웹 보안 테스트를 통해 XSS 취약점을 발견할 수 있습니다. 또한 보안 전문가들의 도움을 받아 취약점을 식별하고 보완하는 것이 좋습니다.

3. CSP는 어떻게 동작하나요? CSP는 웹 애플리케이션에서 실행되는 리소스들의 출처를 지정하여 실행 여부를 결정합니다. 허용된 출처 외에는 실행되지 않도록 설정할 수 있습니다.

4. HttpOnly 플래그가 중요한 이유는 무엇인가요? HttpOnly 플래그를 사용하면 JavaScript를 통해 쿠키에 접근하는 것을 방지할 수 있습니다. 이를 통해 XSS 공격자가 쿠키를 훔치는 것을 어렵게 만듭니다.

5. 보안 패치를 놓치면 어떤 일이 벌어질 수 있나요? 보안 패치를 놓치면 웹 애플리케이션에 취약점이 남아있을 수 있습니다. 악의적인 사용자들은 이를 이용하여 공격을 시도할 수 있으며, 사용자들의 개인 정보가 유출될 수 있습니다.

출처: 사이트 간 스크립팅 – 위키백과, 우리 모두의 백과사전 (wikipedia.org)

댓글 남기기