• 목록
  • 아래로
  • 위로
  • 0
  • jin****
  • 조회 수 2089

흔히 가장 막기 어렵다고 알려진 공격 중 하나가 XSS(cross-site scripting)입니다. 
간단히 소개하자면 게시물의 제목, 내용 등에 <script> 태그를 넣거나 
또는 그와 비슷한 역할을 하는 onmouseover 이벤트 등을 사용하여 임의의 자바스크립트를 실행하는 공격이지요. 
그래서 대부분의 게시판 솔루션들이 정규식을 사용해서 의심스러운 태그를 걸러내고 있지만, 
그것마저 뚫렸다며 급히 패치를 바란다는 공지사항을 종종 보게 되지요. 

그러나 사실 XSS 필터링은 그렇게 어려운게 아닙니다. 발상이 잘못되었기 때문에 어렵게 보이는 것 뿐입니다. 
이 게시판에도 종종 올라오는 XSS 필터링 라이브러리들, 
그리고 대부분의 공개형 게시판 프로그램들이 사용하는 필터링 알고리듬에는 두 가지 치명적인 허점이 있습니다. 

1. 위험한 태그, 속성, 이벤트만 콕콕 찍어 막으려고 하는 blacklisting 기법을 사용한다. 
2. HTML에 오류가 있거나 웹표준에 어긋나는 태그를 사용한 경우를 감안하지 않는다. 



blacklisting은 수많은 태그, 속성, 이벤트들 중 "위험하다고 알려진" 것들만 블랙리스트에 등록해서 
블랙리스트에 등록된 태그, 속성, 이벤트만 지우고, 나머지는 모두 허용해주는 방법입니다. 
만약 HTML5처럼 새로운 태그나 속성이 생기면 블랙리스트에 아직 없으니 모두 허용해 버리게 됩니다. 
만약 사용하기에 따라 위험할 수도 있는 속성이 블랙리스트에서 빠졌다면 그것도 허용해 버리게 됩니다. 
무엇이 허용되는지조차 분명하지 않으니 자나깨나 땜빵하느라 고생이 많습니다. 

반면, "안전하다고 증명된" 태그, 속성, 이벤트만 화이트리스트(블랙리스트의 반댓말)에 등록해서 
리스트에 등록된 것들만 허용하고 나머지는 죄다 없애버리는 whitelisting 기법을 사용한다면 
새로운 태그나 속성이 추가되더라도 걱정이 없습니다. 



HTML 오류에 신경쓰지 않는 필터링 라이브러리도 문제입니다. 
대부분의 필터링 라이브러리들은 정규식을 사용해서 태그를 걸러내는데, 
중간에 널바이트 또는 공백이 끼어 정규식에 잡히지 않는 엉터리 HTML도 
대부분의 브라우저들은 아무 일 없다는 듯 실행해 주고 있는 것이 현실입니다. 
onmouseover 이벤트는 걸렀지만 on\0mouseover 이벤트는 거르지 못하고, 
javascript: 링크는 잡았지만 java  script: 링크는 잡지 못하는 거죠. 
심지어는 이런 것도 있습니다: <img """><script>alert("XSS")</script>"> 

위와 같은 문제를 해결하려면 태그가 잘못된 것도 걸러내줘야 합니다. 
예를 들어 <img> 태그에 src 속성 대신 스크립트가 들어가 있으면 막아야 하는 거죠. 
잘못된 태그를 다 걸러내주면 짝 없는 <div> 태그 때문에 홈페이지 레이아웃이 깨지는 것도 막을 수 있습니다. 



HTML Purifier는 해외의 보안 전문가들로부터 철저하게 검증받은 필터링 라이브러리입니다. 
whitelisting 기법을 사용하고, 잘못된 태그도 확실하게 걸러내줍니다. 
이걸 사용하면 앞으로 아주 오랫동안 XSS 취약점 걱정은 하지 않아도 됩니다. 
http://htmlpurifier.org/ 

아래의 참고소스 란에 사용방법 예제를 넣었더니 내용이 많아서 그런지, 잘려서 나오네요. 
다른 곳에 올려놓았으니 참고하세요. https://gist.github.com/kijin/5829736 

주의사항: 

1. HTML 소스를 완전히 분해한 후, 안전하다고 검증된 태그, 속성, 이벤트만 다시 조합하여 
안전하고 오류 없는 소스를 생성해 주는 라이브러리입니다. 그만큼 처리속도가 느리다는 점 기억하시고, 
게시물 컨텐츠처럼 반드시 HTML이 필요한 경우에만 사용하세요. 
게시물 제목이나 댓글처럼 HTML이 필요없는 경우 그냥 htmlspecialchars 또는 strip_tags 사용. 
또한 페이지 표시할 때마다 매번 필터링하지 말고, DB에 저장하기 전에 한 번만 필터링하세요. 

2. 문법에 어긋나는 태그는 가차없이 제거하므로, HTML 소스가 아주 심하게 망가져있는 경우 주의하세요. 

3. 첨부파일 업로드를 사용한 XSS 공격은 게시물 내용과 별도로 막아주셔야 합니다. 
    http://www.phpschool.com/link/tipntech/78863 

iframe 동영상 허용 리스트는 이 게시판에 얼마전 레어닉님이 올려주신 라이브러리를 참고했습니다. 
http://www.phpschool.com/gnuboard4/bbs/board.php?bo_table=tipntech&wr_id=76911 

 

댓글 0

권한이 없습니다.
번호 제목 글쓴이 날짜 조회 수
공지 [작업 완료] 설 명절 맞이 서버 업데이트 안내 3 마스터 마스터 24.02.11.17:21 367
공지 [중요] 호스팅 만료와 관련하여 일부 수칙이 변경됩니다. 4 마스터 마스터 23.01.14.02:23 4056
400 [Python] 스크린 캡쳐하는 모듈 이니스프리 이니스프리 20.05.25.21:30 2408
399 이미지 누끼 자동으로 따 주는 사이트(백그라운드 제거) 2 마당쇠15 마당쇠15 20.05.24.07:02 389
398 [Autohotkey] 특정시간까지 매분 정각에 다른 스크립트 파일을 실행하기 3 이니스프리 이니스프리 20.05.21.21:57 1662
397 [Python] 최적화된 윈도우용 Tensorflow가 있는 Github repository 이니스프리 이니스프리 20.05.20.18:47 150
396 이미지 사이즈 줄이는 대표 사이트3 7 마당쇠15 마당쇠15 20.05.14.18:08 263
395 [CMD] 어제 날짜를 구하는 Batch 파일 - VBS를 이용하되 별도의 VBS 파일을 두지 않는 방법 이니스프리 이니스프리 20.05.14.11:48 923
394 [CMD] 작업 스케줄러에서 Batch 파일을 최소화한 상태로 실행하기 1 이니스프리 이니스프리 20.05.13.23:15 4042
393 [Python] 윈도우에서 파이썬이 설치된 경로를 확인하는 방법 이니스프리 이니스프리 20.05.13.22:13 197
392 [Python] 확장자를 지정할 수 있는 백업 스크립트 이니스프리 이니스프리 20.05.13.21:58 203
391 [Python] URL에서 파일을 다운받지 않고 파일용량를 알아내는 방법 3 이니스프리 이니스프리 20.05.13.21:01 289
390 [Openpyxl] 성명, 생년월일을 담은 리스트를 정렬하여 엑셀파일로 저장하는 함수 이니스프리 이니스프리 20.05.13.19:13 963
389 나라배움터 임시 점검 이니스프리 이니스프리 20.05.12.11:16 240
388 [링크] 그누보드/아미나에서의 추천/비추에 대한 취소 기능 2 이니스프리 이니스프리 20.05.09.11:59 224
387 [파이썬] 리스트 내 알파벳의 위치를 리스트로 반환하는 함수 5 이니스프리 이니스프리 20.05.05.20:56 1051
386 개인용 vs 기업용 라이선스에 대해 11 이니스프리 이니스프리 20.05.05.12:18 5418
385 나라배움터 에러 발생 대처방법 이니스프리 이니스프리 20.05.01.20:59 1811
384 [어도비 프리미어] MME device internal error의 해결방법 image 이니스프리 이니스프리 20.04.29.22:20 460
383 [어도비 프리미어] 2020년 4월 릴리즈(14.1)의 버그 이니스프리 이니스프리 20.04.27.23:42 221
382 가상PC(vmware,virtualbox)에서 사용가능한 리눅스 배포본 해피보이 20.04.25.10:28 388
381 이제 Github에서 팀 Private 저장소가 무료! (GitHub is now free for teams) title: 은메달도다 20.04.16.02:10 1030