윤리적 해킹-교차 사이트 스크립팅

크로스 사이트 스크립팅 (XSS)은 공격자가 다른 사용자의 브라우저에서 악성 JavaScript를 실행할 수 있도록하는 코드 삽입 공격입니다.

공격자는 피해자를 직접 목표로 삼지 않습니다. 대신, 그는 피해자가 방문하는 웹 사이트의 취약점을 악용하여 웹 사이트가 그를 위해 악성 자바 스크립트를 전달하도록합니다. 피해자의 브라우저에는 악성 자바 스크립트가 웹 사이트의 합법적 인 부분 인 것처럼 보이므로 웹 사이트는 공격자에게 의도하지 않은 공범자로 작용했습니다. 이러한 공격은 HTML, JavaScript, VBScript, ActiveX, Flash를 사용하여 수행 할 수 있지만 가장 많이 사용되는 XSS는 악성 JavaScript입니다.

이러한 공격은 또한 계정 도용, 사용자 설정 변경, 쿠키 도난 / 중독 또는 허위 광고로부터 데이터를 수집하고 DoS 공격을 생성 할 수 있습니다.

예

작동 원리를 이해하기 위해 예를 들어 보겠습니다. 취약한 웹 페이지가 있습니다.metasploitable기계. 이제 XSS에 대해 빨간색 화살표로 강조 표시된 필드를 테스트합니다.

먼저 간단한 경고 스크립트를 만듭니다.

<script>  
   alert(‘I am Vulnerable’)  
</script>

다음과 같은 출력이 생성됩니다.

XSS 공격 유형

XSS 공격은 종종 세 가지 유형으로 나뉩니다.

• Persistent XSS, 악성 문자열이 웹 사이트의 데이터베이스에서 비롯된 곳.

• Reflected XSS, 악성 문자열이 피해자의 요청에서 비롯된 곳입니다.

• DOM-based XSS, 취약점은 서버 측 코드가 아닌 클라이언트 측 코드에 있습니다.

일반적으로 교차 사이트 스크립팅은 vulnerability scanners 그래서 당신은 그것에 JavaScript를 넣어서 모든 수동 작업을 할 필요가 없습니다.

<script>  
   alert('XSS') 
</script>

Burp Suite 과 acunetix 최고의 취약성 스캐너로 간주됩니다.

빠른 팁

XSS 공격을 방지하려면 다음 사항에 유의하십시오.

• 숨겨진 양식, 헤더, 쿠키, 쿼리 문자열과 같은 모든 양식 필드를 확인하고 유효성을 검사합니다.

• 엄격한 보안 정책을 구현하십시오. 입력 필드에 문자 제한을 설정합니다.