XSS(크로스 사이트 스크립팅)
공격자가 게시판 등에 악성 스크립트를 몰래 심어두면, 이를 보는 다른 사용자의 브라우저에서 그 스크립트가 실행되어 정보 유출 등의 피해로 이어지는 웹 보안 취약점입니다.
한눈에 보는 정의
XSS(Cross Site Script, 크로스 사이트 스크립팅)는 공격자가 게시판이나 댓글 같은 곳에 악성 스크립트를 몰래 심어두면, 이를 보는 다른 사용자의 브라우저에서 그 스크립트가 실행되어 피해로 이어지는 웹 보안 취약점입니다.
자세히 알아보기
- 예문: "게시글 제목에 악성 코드를 넣어두면, 그 글을 열어본 다른 사용자의 브라우저에서 스크립트가 실행되는 것이 XSS의 전형적인 예다."
- 실행된 스크립트를 통해 로그인 정보(쿠키)를 탈취하거나, 사용자 몰래 다른 악성 사이트로 이동시키는 등 다양한 피해로 이어질 수 있습니다.
- 웹사이트가 사용자 입력값을 제대로 검증하지 않고 그대로 화면에 출력할 때 발생하기 쉬워, 입력값 검증과 이스케이프 처리가 기본적인 예방책입니다.
- 웹사이트 응답 헤더에 CSP(클라우드 서비스 제공자 · 콘텐츠 보안 정책) (콘텐츠 보안 정책)를 설정해, 허용되지 않은 출처의 스크립트 실행 자체를 브라우저 차원에서 막는 것도 대표적인 방어 수단입니다.