XSS(크로스사이트스크립팅) 기본 우회 방법 및 스킬업 XSS(크로스 사이트 스크립팅, Cross-Site Scripting)은 웹 어플리케이션의 보안 취약점 중 하나로, 공격자가 웹 사이트에 악성 스크립트를 주입하여 사용자의 브라우저에서 실행되게 만드는 공격 기법이다. 이를 통해 공격자는 사용자의 세션 쿠키, 토큰 등을 탈취하거나, 사용자를 대신하여 의도하지 않은 행동을 실행시킬 수 있다. XSS 공격의 원리 XSS 공격의 기본 원리는 사용자로부터 입력 받은 데이터를 적절히 검증하거나 이스케이프 처리하지 않고 웹 페이지에 그대로 반영할 때 발생한다. 공격자는 이러한 취약점을 이용해 스크립트 코드를 웹 어플리케이션에 주입하고, 이 코드가 다른 사용자의 브라우저에서 실행되도록 한다. 실행된 스크립트는 공격..

버그바운티 다양한 공격 심층 분석 및 취약점 예방 가이드 1. XSSI 공격 심층 분석 정의: XSSI(Cross-Site Scripting Inclusion)는 공격자가 웹 페이지에 악의적인 스크립트를 삽입하여 사용자에게 피해를 입히는 공격 방식 공격 유형: Regular XSSI: 웹 페이지에 직접 악의적인 스크립트를 삽입하는 방식 Dynamic-JavaScript-based XSSI: JSONP 응답이나 Ajax 요청을 통해 악의적인 스크립트를 삽입하는 방식 Authenticated-JavaScript-XSSI: 인증된 사용자만 접근할 수 있는 페이지에 악의적인 스크립트를 삽입하는 방식 Non-Script-XSSI: 스크립트 태그가 아닌 다른 방식으로 악의적인 스크립트를 실행하는 방식 공격 예시: ..

CSP 는 Content Security Policy의 약자로, 웹 페이지에서 허용되는 리소스의 종류와 출처를 지정하는 정책이며 CSP를 사용하면 웹 페이지에서 악성 리소스의 실행을 차단하여 보안을 강화할 수 있다. CSP는 웹 브라우저에서 구현된다. 웹 브라우저는 웹 페이지의 CSP 정책을 확인하고, 해당 정책에 위배되는 리소스를 차단한다. CSP는 다음과 같은 방법으로 보안을 강화한다. 자바스크립트 공격 차단 자바스크립트는 웹 페이지의 기능을 확장하는 데 사용되는 강력한 도구이지만, 악용될 경우 사용자의 정보를 훔치거나 시스템을 손상시킬 수 있다. CSP를 사용하면 특정 도메인에서만 자바스크립트를 실행하도록 허용하여 자바스크립트 공격을 차단할 수 있다. 스타일 시트 공격 차단 스타일 시트는 웹 페이지..