사이버 보안 분야에서 실무자들은 복잡한 공격 벡터, 제로데이 취약점 또는 정교한 익스플로잇 기법에 집중하는 반면 일상적인 요소에 숨겨진 위험은 간과하는 경우가 많습니다. 꺾쇠 괄호 < 그리고 > HTML, XML 및 기타 마크업 언어에서 흔히 볼 수 있는 기호가 대표적인 예입니다. 이러한 요소는 브라우저 구문 분석 중에 태그 경계를 정의하지만 데이터 렌더링에서 고유한 역할을 하기 때문에 인젝션 공격의 자연스러운 진입점이 되기도 합니다.
대괄호가 포함된 사용자 제공 입력이 제대로 이스케이프되거나 필터링되지 않으면 크로스 사이트 스크립팅(XSS)뿐만 아니라 HTML 인젝션, 이메일 파싱 취약점, 필터 우회로까지 연결될 수 있습니다. 모의 침투 테스터에게 이러한 뉘앙스를 무시하는 것은 견고한 성벽에 공격할 수 있는 은밀한 틈새를 남겨두는 것과 같습니다.
꺾쇠 괄호란 무엇인가요?
꺾쇠 괄호는 다음과 같은 요소 태그를 둘러싸는 기호입니다. <p> 또는 <div>. 웹 페이지 구조를 정의하고, 이메일 형식을 지정하고, 문서 데이터를 구성하는 데 필수적입니다.
그러나 브라우저와 파서는 이러한 기호를 태그 구분 기호로 해석하기 때문에 필터링되지 않은 입력에 이러한 기호가 있으면 의도한 페이지 구조가 변경되거나 데이터 해석이 변경될 수 있습니다. 이 문제는 콘텐츠를 동적으로 생성하거나 사용자 입력에 크게 의존하는 시스템에서 특히 위험합니다. 공격자가 이스케이프를 한 번만 놓쳐도 실행 코드를 삽입하거나 올바른 렌더링을 방해할 수 있기 때문입니다.
꺾쇠 괄호 보안 위험
크로스 사이트 스크립팅(XSS)
In XSS 공격공격자는 <script> 태그를 괄호 안에 삽입하여 브라우저가 악성 JavaScript를 실행하도록 합니다.
<!-- Insecure example: Directly rendering user input --><p>환영합니다,</p>
<!-- Attacker input --><script>alert('Session Hijacked!')</script>
이스케이프되지 않은 콘텐츠는 실행 가능한 스크립트로 해석되어 세션 하이재킹 및 데이터 도용이 발생할 수 있습니다.
HTML 태그 삽입
HTML 태그 삽입은 꺾쇠 괄호를 사용하여 임의의 태그 또는 이벤트 핸들러 속성을 삽입하여 페이지를 변경하거나 코드를 실행합니다.
<!-- Insecure example: Directly displaying comment content --><div class="comment">
<?php echo $comment; ?>
</div>
<!-- Attacker input --><img src="x" onerror="alert('Injected!')">
브라우저는 다음을 트리거합니다. onerror 로딩 시 더 유해한 페이로드로 대체될 수 있는 삽입된 스크립트를 실행합니다.
이메일 스푸핑 및 구문 분석 결함
이메일 헤더에서 꺾쇠 괄호는 주소를 둘러싸고 있습니다. 구문 분석기의 유효성 검사가 약하면 스푸핑된 발신자 정보가 허용될 수 있습니다.
보낸 사람 보낸 사람: 공격자
받는 사람 대상
Subject: 비밀번호 재설정
비밀번호를 재설정하려면 이 링크를 클릭하세요:
시스템이 스푸핑된 발신자를 신뢰하면 수신자가 악성 링크를 클릭하여 피싱 공격에 노출될 수 있습니다.
필터 바이패스
인코딩 꺾쇠 괄호는 원시 문자만 검사하는 필터를 우회할 수 있습니다.
<!-- Encoded bypass -->
%3Cscript%3Ealert('Bypass Successful')%3C/script%3E
방화벽이 리터럴만 찾는 경우 <script> 문자열을 사용하면 인코딩된 양식이 감지되지 않고 브라우저에서 실행될 수 있습니다.
꺾쇠 괄호 모범 사례: 펜리젠트의 이점
꺾쇠 괄호 관련 공격에 대한 방어는 입력 단계부터 시작해야 합니다. HTML 엔티티 인코딩 변환 < 에 < 그리고 > 에 >를 사용하여 태그로 해석되는 것을 방지합니다. React 또는 Django 템플릿과 같이 자동 이스케이프 기능이 있는 안전한 프레임워크를 사용하면 개발자의 감독 위험을 줄일 수 있습니다.
방어 인프라 측면에서는 웹 애플리케이션 방화벽(WAF) 규칙 는 애플리케이션 로직에 도달하기 전에 의심스러운 요청을 차단하기 위해 대괄호 구문 패턴을 명시적으로 타겟팅해야 합니다.
In 침투 테스트는 강력한 이점을 제공합니다. Penligent는 자연어 명령을 통해 XSS, HTML 삽입, 이메일 구문 분석 결함 등 꺾쇠 괄호와 관련된 취약점을 빠르게 탐지할 수 있습니다. 자동으로 최적의 도구(예: 버프 스캐너, 핵)를 선택하고, 취약점의 진위를 확인하고, 오탐을 걸러내고, 심각도에 따라 문제의 우선순위를 지정합니다. 그 결과, 가장 중요한 공격 표면을 먼저 해결하면서 탐지부터 치료까지 걸리는 시간을 며칠에서 몇 시간으로 단축하는 지능형 워크플로우가 탄생했습니다.
