기초적인 XSS 대응

크로스 사이트 스크립팅.

그 중에서도 가장 기초적인 저장 XSS공격에 대한 대응 포스팅이다.

 

withIT 개발 단계에서 테스트했을 땐 스크립트가 작동되지 않아서 그냥 넘어갔었는데..

(왜 그땐 안된거지?;;)

혹시나 해서 테스트 해보니까 스크립트 태그가 너무 잘 작동해서;;

시급한 문제니까 바로 처리를 했다.

 

db에 저장할 때부터 script 태그는 html에서 plain text로 인식되도록 변경 후 저장하도록 했다.

 

---

 

일단 이런식으로 테스트를 진행하고

 

 

모든 글 작성과 수정이 일어날 때, 검증 후 변환 하여 db에 저장하도록 처리

 

 

db에 변환 후 저장된 모습

---

 

아주 초보적인 수준의 XSS공격과 대응이었다.

나중에 해보고 싶은 작업으로는

만약 XSS 공격이 인식될 경우 해당 접속 IP를 24시간동안 접속제한하는 로직에 흥미가 생겼다.