정보처리기사 필기 이론 학습 | 모두의 문제집

사용자가 업로드한 소개 파일을 서버의 실행 가능 폴더에 원본 이름으로 저장하고, 그 파일을 다른 사람에게 원시 HTML로 보여준다고 하자. 이는 파일 형식·저장 위치·실행 권한 문제와 XSS 문제가 함께 존재할 수 있다.

보관 위치를 분리해도 화면에서 내용을 위험하게 해석하면 XSS가 남는다. 출력만 인코딩해도 파일의 경로 조작이나 무단 다운로드는 남는다. 입력·저장·실행·출력·인가의 각 지점을 따로 통제해야 한다.

유형	특징	예
저장형 XSS	악성 내용이 저장되었다가 다른 사용자의 화면에 출력	게시글·댓글의 비신뢰 HTML
반사형 XSS	요청의 입력값이 즉시 응답에 포함되어 실행	검색어·오류 메시지의 무처리 출력
DOM 기반 XSS	클라이언트 코드가 비신뢰 값을 위험한 DOM 처리 지점에 전달	URL 값을 읽어 원시 HTML로 삽입

공격자는 반드시 응답 내용을 읽어야 하는 것이 아니다. 예를 들어 비밀번호·배송지 변경 요청이 처리되면 응답을 읽지 못해도 피해가 발생할 수 있다.

시험 직전 요약장