디시인사이드 갤러리

갤러리 이슈박스, 최근방문 갤러리

갤러리 본문 영역

xss 방어에 대한 똥글

◕‿◕갤로그로 이동합니다. 2016.01.18 12:59:27
조회 2809 추천 11 댓글 14

< > ' " 이렇게 4개 + 이벤트핸들러 틀어막고, 모든 input(GET, POST 메소드뿐만 아니라 SESSION, FILES 등 클라이언트가 조작가능한 값은 모두)은 출력하기 전에 urlencode해주고, 출력할때 "" 로 묶으면 안전해짐.


문제는 이러면 가용성을 해친다는건데 html을 열어줘야 할 경우에는 script, style, 이벤트핸들러 등 Javascript 사용과 관련된 키워드를 막아가면서 뚫고 뚫리는 싸움을 해야함.


css 관련해서 덧붙이면 최신 웹브라우저에서는 css에서 js 사용이 거의 불가능해졌지만, 보안적인 관점에서 개발자는 구버전 브라우저를 쓰는 사용자를 보호해야할 의무가 있음.


html을 열어주지 않았을때 가용성 저하의 소지가 있는건 urlencode인데 모든값을 urlencode 할 수 없다면 최소한 ' " whitespace tab carriagereturn linefeed 정도는 해줘야함.


가용성을 해치지 않는 범위 내에서 최대한 핵심적인 키워드를 많이 필터하는게 관건임. 


디시처럼 document.c0okie 이딴거 막고있으면 죽빵날려야하는거고.


그리고 공격자가 스크립트 삽입에 성공하더라도 얻어가는걸 최대한 줄이는 방법이 있음.


먼저 세션탈취를 막기위해 세션변수에 로그인시의 ip주소를 박아넣고, 모든 페이지에서 세션에 들어있는 ip주소와 현재 ip주소가 동일한지 체크하는것.


네이버 사용중에 프록시같은걸 타서 ip주소가 바뀌면 재로그인을 요구하는게 이런 이유.


이 방어기법을 우회하는데 쓰이는게 csrf 이고 csrf의 대안책이 csrf토큰, 레퍼러 체크인데 이건 잘 구현해도 특정 케이스 제외하고 우회가 가능함.


공격자를 귀찮게 만든다는데에 의의를 두자.


그 외에 X-XSS-Protection 헤더를 1; mode=block 로 설정해준다거나 하는 몇가지가 더 있고, 여기서 XXN같은 새로운 기법들까지 얽히고 섥힘.


XSS를 막으려면 주워들은것만 가지고 방어기법 덕지덕지 붙이지 말고, 기법을 이해하고 고찰한 후에 하지 말아야 할 행동을 정리해 가이드라인을 만들고 절대적으로 준수해야함.


서버사이드 언어, html, js, css, 웹브라우저 등이 복잡하게 얽혀있는데 땜빵질로 막아질리가 없지.


예를들어 네이버 xss 필터같은거 가져다 써봤자 HTML meta charset을 클라이언트가 지정가능하게 해주는순간 UTF-7 xss 펑 터지는거임.


더 쓰려면 나도 자료 찾아봐야해서 쓰기싫다.


그럼 20000.


=======================================================================


덤으로 길이제한, 정규식도 효과적인 방어기법임.


어느정도 방어를 했으면 우회를 위한 페이로드도 필연 길어지는데 여기서 길이제한을 걸어버리면 꽤 고생시킬 수 있음.


주민등록번호는 숫자 13자리만, 집주소 검색하는데에 non printable characters 입력하는 사람도 없을테니 틀어막고.


길이제한, 정규식은 가용성을 해치지 않는 범위 내에서 빡빡할수록 좋음.

추천 비추천

11

고정닉 1

0

댓글 영역

전체 댓글 0
본문 보기

하단 갤러리 리스트 영역

왼쪽 컨텐츠 영역

갤러리 리스트 영역

갤러리 리스트
번호 제목 글쓴이 작성일 조회 추천
설문 며느리, 사위되면 시댁, 처가에 잘할 것 같은 스타 운영자 25/10/13 - -
AD iPad Pro 사전예약!! 운영자 25/10/17 - -
공지 프로그래밍 갤러리 이용 안내 [96] 운영자 20.09.28 48061 65
2897263 개인적으로 함수형 패러다임 익히는데는 R이 좋더라 ㅆㅇㅆ(124.216) 17:40 8 0
2897262 링크드인서 만난 그 남자..."알고 보니 채용 빙자 해커" 발명도둑잡기(118.235) 17:24 10 0
2897261 oop는 다형성의 구현일뿐인데 그게 정형화된거라 ㅆㅇㅆ(124.216) 17:23 11 0
2897260 원래 주식 자동매매 거의 나만하는 꿀통이었는데 ㅆㅇㅆ(124.216) 17:21 9 0
2897259 OOP는 연습한다기보다 그냥 단순하게 많이 짜봐야함. ㅆㅇㅆ(124.216) 17:16 13 0
2897257 oop를 연습하려면? [4] 프갤러(14.36) 17:05 40 0
2897255 오늘만큼 프로그래밍에 감사한 적이 없었다 [1] ㅆㅇㅆ(124.216) 16:51 35 0
2897254 나랑 결혼한지 5년차인 와이프 사진인데 어떠냐 [1] ㅁㅁ갤로그로 이동합니다. 16:49 27 0
2897252 개발자하려면 노트북 쓰지 마라. [6] 프갤러(59.16) 16:41 49 0
2897250 [대한민국] [단독] SBS 무궁화 훈장 욕보여- 프갤러(121.172) 16:31 8 0
2897249 주말이 벌써끝이라고? [6] 개멍청한유라갤로그로 이동합니다. 16:24 23 0
2897248 공지] 냥덩짤 무단사용 ㄴㄴ [3] ♥덩냥이♥갤로그로 이동합니다. 16:23 28 0
2897247 왜 가난의 이미지를 측은함, 부끄러움으로만 만드는걸까... [2] ㅇㅇ(223.39) 16:16 24 0
2897246 존재하지도 않는 것을 동경하고 절망한다 [4] 공기역학갤로그로 이동합니다. 16:14 33 0
2897245 데이터 분석 과제 하고 있는데 미치겠다. [1] 프갤러(218.152) 16:10 31 1
2897244 개발자 할려면 노트북 필수임? [5] ㅇㅇ갤로그로 이동합니다. 16:08 33 0
2897243 졸린데 지금자면 넘빠름.. [1] ♥덩냥이♥갤로그로 이동합니다. 16:08 15 0
2897242 김창욱 김제동 오은영 같은 프갤러(211.210) 16:01 15 0
2897241 서울가스라이팅 당해서 서울이런 모습인줄알았음 ㅇㅇ(175.197) 16:00 16 0
2897240 나같은 인간이 살아가도 되는걸까 ㅠㅠㅠㅠ [12] 공기역학갤로그로 이동합니다. 15:57 39 0
2897239 아동성애가 최고임 류류(118.235) 15:23 24 0
2897238 냥덩아 발명도둑잡기(39.7) 15:13 28 0
2897237 그래도 이번 정권이 집값은 잡을 의지가 있어보이긴 해 [4] chironpractor갤로그로 이동합니다. 15:10 41 0
2897236 zfs source code opened 나르시갤로그로 이동합니다. 14:50 15 0
2897234 부산에 국제수로기구 인프라센터 생기네 ㅇㅇ(175.197) 14:21 17 0
2897233 전찐연 ㄱㄱ 슈퍼너드_리보갤로그로 이동합니다. 14:20 27 0
2897232 스타벅스 선불금 6년간 2.6조…고객돈으로 투자 수익 등 400억원 발명도둑잡기(118.235) 14:18 19 0
2897231 zfs도 라이센스에 소스 강제공개가 없어서 백도어 가능 발명도둑잡기(118.216) 14:05 16 0
2897230 미국 마이크론부터 때리는 중국, 지켜보는 한국 발명도둑잡기(118.216) 14:00 16 0
2897229 zfs 파일 시스템에서도 mount 명령을 사용하면 되는가? 나르시갤로그로 이동합니다. 13:45 15 0
2897228 캄보디아 중국인 범죄조직 한국인신매매도 결국 이재명 때문이엇넹 [2] ♥덩냥이♥갤로그로 이동합니다. 13:40 34 0
2897227 코스프레가 대중화되야 출산률이 올라간당 By 나님 ♥덩냥이♥갤로그로 이동합니다. 13:37 29 0
2897226 구윤철 “미국처럼 재산세 1% 때리면 고가주택 보유하겠나” [1] 발명도둑잡기(39.7) 13:36 25 0
2897225 저장용 ♥덩냥이♥갤로그로 이동합니다. 13:25 23 0
2897224 제국주의 체제 부역자는 대체로 이기적이고 근시안적인 입장이고 [1] 발명도둑잡기(118.235) 13:23 26 0
2897223 괜찮다는건 무지에 대한 책임감의 부재 아닐까?? [1] ㅇㅇ(223.39) 13:21 33 0
2897222 한반도의 절대반지는 단연코 국가보안법이다 발명도둑잡기(118.235) 13:12 18 0
2897220 예뿐귀염냥들도 풍파좀맞으면 미모떨엊지는듯 [2] ♥덩냥이♥갤로그로 이동합니다. 13:05 45 0
2897219 ‘노 킹스!’ 미국 전역 들썩인 반 트럼프 시위…“역사상 최대 규모” [2] 발명도둑잡기(118.235) 13:02 22 0
2897218 Ada 프로그래밍: 4.1.1 타입의 정의와 중요성 나르시갤로그로 이동합니다. 12:56 22 0
2897217 애널은 버티다 일직자야갯다 ♥덩냥이♥갤로그로 이동합니다. 12:47 23 0
2897216 컨디션 좋을때 효율이 안좋을때 수백수천배임 ♥덩냥이♥갤로그로 이동합니다. 12:47 22 0
2897215 체딸의 갖장 큰 단점은 중요성 판단능력이 떠러진다는거 ♥덩냥이♥갤로그로 이동합니다. 12:45 27 0
2897214 4시간 잤다 발명도둑잡기(118.216) 12:41 26 0
2897213 생후2개월까지만 귀엽고 그이후는 귀여운애들만 귀여운듯 ♥덩냥이♥갤로그로 이동합니다. 12:40 28 0
2897212 새끼길냥이들 좀만크면 안귀여워지네 ♥덩냥이♥갤로그로 이동합니다. 12:39 30 0
2897211 뛰뛰조졋더이 글이 언읽힌당.. [2] ♥덩냥이♥갤로그로 이동합니다. 12:33 34 0
2897210 바이럴이라는게 상당히 중요한게 얼마전에 바이브 코딩 게임 [1] ㅆㅇㅆ(124.216) 12:25 53 0
2897209 [대한민국] 헌재 윤 국무회의 CCTV 고의적으로 증거 은닉 프갤러(121.172) 12:08 20 0
갤러리 내부 검색
제목+내용게시물 정렬 옵션

오른쪽 컨텐츠 영역

실시간 베스트

1/8

디시미디어

디시이슈

1/2