익명 사용자
로그인하지 않음
토론
기여
계정 만들기
로그인
IT위키
검색
크로스사이트 스크립트
편집하기 (부분)
IT위키
이름공간
문서
토론
더 보기
더 보기
문서 행위
읽기
편집
원본 편집
역사
경고:
로그인하지 않았습니다. 편집을 하면 IP 주소가 공개되게 됩니다.
로그인
하거나
계정을 생성하면
편집자가 사용자 이름으로 기록되고, 다른 장점도 있습니다.
스팸 방지 검사입니다. 이것을 입력하지
마세요
!
== 코드 예제== * '''안전하지 않은 코드 : Java 예제''' : 파라미터(id)에 <script>alert(document.cookie);</script>와 같은 스크립트 코드가 입력되고, 이 값을 그대로 출력에 사용하는 경우, 공격자는 공격코드를 이용하여 피해자의 쿠키정보를 빼돌릴 수 있다. :<syntaxhighlight lang="java"> <% String customerID = request.getParameter(“id”); %> 요청한 사용자: <%=customerID%> 처리결과: ${m.content} </syntaxhighlight> * '''안전한 코드 : Java 예제''' : 서버의 처리 결과를 사용자 화면에 출력하는 경우, 문자열 치환 함수를 이용하여 출력값을 HTML 인코딩하거나, JSTL을 이용하여 출력 또는 잘 만들어진 외부 XSSFilter 라이브러리를 활용하여 출력하는 것이 안전하다. :<syntaxhighlight lang="java"> // 방법1. 서블릿에서 출력값에 HTML인코딩 String cleanData = input.replaceAll(“<”, “<”).replaceAll(“>”, “>”); out.println(cleanData); // 방법2. JSP에서 출력값에 JSTL HTML 인코딩 <textarea name=”content”>${ fn:escapeXml(model.content) }</textarea> // 방법3. JSP에서 출력값에 JSTL Core 출력 포맷을 사용하여 텍스트로 처리 <textarea name=”content”><c:out value=”${model.content}”/></textarea> // 방법4. 잘 만들어진 외부 XSSFilter 라이브러리를 활용하여 출력값에 필터링 XssFilter filter = XssFilter.getInstance(“lucy-xss-superset.xml”); out.append(filter.doFilter(data)); </syntaxhighlight> * '''안전하지 않은 코드 : C# 예제''' : 파라미터(ID) 값에 서버로 전송하는 스크립트 코드가 입력되고, 이 값이 검증 없이 그대로 사용되면 부적절한 스크립트가 수행되어 정보유출 등의 공격을 유발할 수 있다. :<syntaxhighlight lang="c#"> public void Execute() { String userid = Request.QueryString[“ID”]; String query = “Select * From Products Where ProductID = “ + userid; Request.Write(query); } </syntaxhighlight> * '''안전한 코드 : C# 예제''' : 외부 입력 문자열에서 replace() 메서드를 사용하여 <, >, &, “, ‘, / 같이 스크립트 생성에 사용되는 문자열을 <, >, &, ", ', / 등으로 변경하면, 파라미터 userid에 악성스크립트가 포함되더라도 스크립트가 실행되지 않는다. :<syntaxhighlight lang="c#"> public void Execute() { String userid = Request.QueryString[“ID”]; if (userid != null && !””.Equals(userid)) { userid = userid.Replace(“<”, “<”); userid = userid.Replace(“>”, “>”); userid = userid.Replace(“&”, “%amp;”); userid = userid.Replace(“””, “&#quot;”); userid = userid.Replace(“’”, “'”); userid = userid.Replace(“/”, “/”); } String query = “Select * From Products Where ProductID = “ + usrinput; Request.Write(query); } </syntaxhighlight>
요약:
IT위키에서의 모든 기여는 크리에이티브 커먼즈 저작자표시-비영리-동일조건변경허락 라이선스로 배포된다는 점을 유의해 주세요(자세한 내용에 대해서는
IT위키:저작권
문서를 읽어주세요). 만약 여기에 동의하지 않는다면 문서를 저장하지 말아 주세요.
또한, 직접 작성했거나 퍼블릭 도메인과 같은 자유 문서에서 가져왔다는 것을 보증해야 합니다.
저작권이 있는 내용을 허가 없이 저장하지 마세요!
취소
편집 도움말
(새 창에서 열림)
둘러보기
둘러보기
대문
최근 바뀜
분류별 보기
일반 IT용어
프로젝트 관리
디지털 서비스
블록체인
인공지능
소프트웨어 공학
운영체제
컴퓨터 구조
자료 구조
데이터 과학
데이터베이스
네트워크
프로토콜
보안
컴플라이언스
개인정보보호
표준
경영학
기업 IT
조직/단체
광고
위키 도구
위키 도구
특수 문서 목록
문서 도구
문서 도구
사용자 문서 도구
더 보기
여기를 가리키는 문서
가리키는 글의 최근 바뀜
문서 정보
문서 기록