[웹해킹] XSS 총정리 #2_

1. XSS 취약점 방어하는 방법

- 방법

1) 입력값 검증

- 개발자가 의도하지 않은 문자 방지 :

특수문자

- 사용자 입력값이 서버로 전송될 때 방화벽 또는 서버의 코드에서 검증 :

특수문자, 'script', 이벤트 핸들러 방지 

 

2) 출력값 검증

- 사용자 입력값을 반환할 때 부라우저가 문법의 코드로 이해하지 못하게 반환:

특수문자 -> HTML Entity로 escaping (HTML Entity : 특수문자가 문법적 의미가 아닌 문자로서의 기능을 수행)

url 인코딩

공격 코드에 특수한 작업 (script -> x-script)

 

- HTML Entity

브라우저가 특수문자를 String으로 보게 만든다.