크로스 사이트 스크립팅(XSS) 소개
크로스 사이트 스크립팅(XSS) 는 단순히 웹 취약점 목록의 또 다른 항목이 아니라, 공격자가 신뢰할 수 있는 웹사이트에 악성 스크립트를 삽입할 수 있게 해줍니다. 이러한 스크립트는 대상 도메인의 권한으로 피해자의 브라우저 내에서 실행되어 쿠키나 세션 토큰과 같은 민감한 데이터에 대한 잠재적 액세스 권한, 사용자 대신 무단 작업을 수행할 수 있는 권한, 심지어 시각적 콘텐츠를 변경하여 오도하거나 조작할 수 있는 수단까지 부여합니다.
수십 년에 걸친 연구, 인식 제고 캠페인, 보안 코딩 가이드라인에도 불구하고 XSS는 여전히 흔하게 발생합니다. 단일 페이지 애플리케이션(SPA)의 증가, 점점 더 복잡해지는 자바스크립트 프레임워크, 타사 스크립트의 광범위한 사용으로 인해 종합적인 예방이 더욱 어려워졌습니다. 모의 침투 테스터, 자동화된 익스플로잇 파이프라인 개발자, 그리고 AI 기반 보안 팀를 통해 XSS 벡터와 방어를 마스터하는 것은 선택이 아닌 필수입니다.
XSS 치트 시트 - 주요 공격 유형에 대한 이해
대체로 XSS는 세 가지 주요 형태로 나타나며, 각각 고유한 특징과 악용 패턴을 가지고 있습니다:
저장된(영구) XSS 벡터는 서버가 나중에 사용자 프로필 페이지, 포럼 게시물 또는 댓글 섹션과 같이 다른 사용자에게 전달할 위치에 악성 페이로드를 저장하는 것을 포함합니다.
반영된 XSS 공격자가 특수하게 준비된 링크에 악성 입력을 삽입하고 서버가 적절한 살균 처리 없이 HTTP 응답 내에서 해당 입력을 즉시 반환하여 피해자의 브라우저에서 실행되도록 할 때 발생합니다.
DOM 기반 XSS 는 전적으로 클라이언트 측 자바스크립트 내에서 발생합니다. 자바스크립트가 DOM을 조작하는 방법의 결함으로 인해 신뢰할 수 없는 데이터가 민감한 실행 컨텍스트에 삽입되고 브라우저는 이를 코드로 해석합니다.
XSS 치트 시트 - 컨텍스트 인코딩 규칙
| 컨텍스트 | 안전하지 않음 | 안전 |
|---|---|---|
| HTML 텍스트 | <div>${사용자 입력}</div> | HTML 엔티티 인코딩(<, &) |
| HTML 속성 | <img src="${url}"> | URL + 견적 속성 유효성 검사 |
| 자바스크립트 리터럴 | <script>var v = '${input}'</script> | JS 이스케이프 (\\uXXXX) |
| CSS 속성 | <div style="width:${input}px"> | 엄격한 유효성 검사/동적 CSS 허용 안 함 |
| URL/HREF | <a href="${href}"> | 퍼센트 인코딩 + 스키마 화이트리스트 |
인코딩 규칙은 데이터가 표시될 정확한 컨텍스트에 따라 적용해야 합니다. JavaScript 문자열이나 CSS 규칙을 대상으로 하는 데이터에 HTML 인코더를 사용한다고 해서 악용을 방지할 수 있는 것은 아니며, 오히려 공격자가 빠져나갈 수 있는 틈을 남겨둘 수 있습니다. 따라서 팀은 신뢰할 수 있는 라이브러리의 성숙한 인코딩 기능을 사용하고 이를 템플릿 시스템에 통합하며 철저한 테스트를 거치지 않은 대체 루틴을 구축하지 않아야 합니다.
XSS 치트 시트의 HTML 살균 팁
다음과 같은 안전하지 않은 싱크대 innerHTML, document.write, eval()인라인 핸들러는 삽입된 데이터를 코드로 취급하므로 방어 인코딩을 재정의할 수 있습니다. 더 안전한 대안은 삽입된 콘텐츠를 본질적으로 비활성 텍스트 또는 제어된 속성으로 취급하는 API를 사용하는 것입니다. 예를 들어 웹 페이지에 사용자 입력을 삽입하는 경우입니다, .textContent 를 포함하는 문자열도 HTML 태그 또는 스크립트 를 일반 텍스트로 유지합니다:
<div id="greeting"></div>
<script>
function getQueryParam(name) {
return new URLSearchParams(window.location.search).get(name);
}
var raw = getQueryParam("name") || "";
document.getElementById("greeting").textContent = raw;
</script>
이 접근 방식은 임베디드 코드를 무력화하여 시각적으로는 렌더링하지만 실행은 하지 않습니다.
보안 DOM 작업에 XSS 치트 시트 적용하기
DOM 조작은 다음과 같은 속성을 할당할 때 특히 위험합니다. href 또는 src 사용자 입력을 기반으로 합니다. 유효성 검사 없이 공격자는 다음을 사용할 수 있습니다. 자바스크립트: 또는 데이터: 코드를 실행하는 URL. 안전한 접근 방식은 프로토콜을 제한하는 것입니다:
function safeHref(input) {
try {
var u = new URL(input, window.location.origin);
if (u.protocol === "http:" || u.protocol === "https:") {
return u.toString();
}
} catch(e) {}
return "#";
}
document.getElementById("mylink").href = safeHref(userInput);
HTML 살균 및 구문 분석 차별 위험
애플리케이션에서 사용자가 HTML 조각을 제출할 수 있도록 허용하는 경우(예: WYSIWYG 편집기 또는 댓글 시스템), 허용된 태그 및 속성의 엄격한 화이트리스트에 따라 해당 입력을 위생 처리하는 것이 필수적입니다. 다음과 같은 성숙한 라이브러리 DOMPurify 는 취약하고 쉽게 우회할 수 있는 정규식을 기반으로 하는 접근 방식보다 훨씬 더 잘 처리합니다. 개발자는 또한 파싱 차이, 즉 복잡하거나 잘못된 마크업에 대한 소독기의 해석이 브라우저의 파싱과 달라서 공격자가 실행 코드를 필터를 통과할 수 있는 상황에 유의해야 합니다.
심층적인 방어를 위한 XSS 치트 시트 CSP 전략
인코딩과 살균은 여전히 XSS에 대한 주요 보호 수단이지만, 강력한 콘텐츠 보안 정책을 배포하면 스크립트를 로드할 수 있는 위치와 실행 방법을 제한하여 또 다른 보호 계층을 추가할 수 있습니다. 논스 또는 스크립트 해시와 같은 기능을 다음과 같은 지시어와 결합합니다. 엄격한 동적 를 제거하고 '안전하지 않은 인라인'는 악용 가능성을 크게 제한할 수 있습니다. 그럼에도 불구하고 레거시 코드를 수용하기 위한 논스 재사용이나 정책 완화와 같은 함정은 CSP의 이점을 약화시킬 수 있습니다.
XSS 치트 시트 엔지니어링 사례
개발의 모든 단계에 XSS 방어를 통합한다는 것은 린트 규칙을 사용하여 안전하지 않은 API에 플래그를 지정하고, 지속적 통합에서 정적 및 동적 분석을 실행하고, 적절한 인코딩을 확인하기 위해 페이로드를 적극적으로 삽입하는 보안 중심 단위 테스트를 작성하고, 프로덕션에서 CSP 위반을 모니터링하는 것을 의미합니다.
펜리젠트 원클릭 XSS 스캔: 자동화를 통한 XSS 치트 시트 개선하기
보안팀은 종종 빠르고 가벼운 스캔과 워크플로우를 느리게 하는 깊고 철저한 분석 사이에서 절충점을 찾아야 하는 상황에 직면했습니다. 펜리젠트 원클릭 XSS 스캔 는 포괄적인 탐지를 간소화된 단일 명령 파이프라인에 통합하여 각 커밋 후 또는 릴리스 전에 CI/CD에서 쉽게 트리거함으로써 이 문제를 해결합니다.
이 프로세스에는 다음이 포함됩니다:
- 크롤링 및 JS 렌더링 - 헤드리스 브라우저는 정적 및 동적 경로를 검색합니다.
- 정적 오염 분석 - 파일 간 데이터 흐름 추적을 통해 고위험 싱크를 탐지합니다.
- 템플릿 페이로드 주입 - HTML, 속성, JS, CSS, URL을 위한 컨텍스트 인식 라이브러리.
- 동적 실행 및 런타임 오염 추적 - 실시간 브라우저 계측을 통해 DOM 기반 XSS를 포착합니다.
- 구문 분석-차등 퍼징 - 소독제/브라우저 불일치를 감지합니다.
- CSP 및 공급망 감사 - 보안 헤더, 무결성 속성을 확인합니다.
- 리치 리포팅 - PoC, 심각도 점수, 수정 제안, 선택적 자동 패치 생성 기능을 제공합니다.
결론
보안팀은 XSS 치트 시트의 권위 있는 규칙을 런타임 오염 추적, 파싱 차등 퍼즈 테스트, AI 지원 취약성 분류와 같은 최첨단 탐지 기법과 결합하여 이론적으로 건전할 뿐만 아니라 실질적으로 구현 가능한 방어 시스템을 구축할 수 있습니다. 펜리전트 청사진에서 볼 수 있듯이 잘 설계된 자동화된 스캐닝 기능은 이러한 관행이 일관되게 적용되도록 하여 최신 웹 애플리케이션 전반에서 XSS 악용의 위험을 줄여줍니다.
