교차 사이트 스크립팅(XSS)은 공격자가 평판이 좋은 웹 사이트에 악성 스크립트를 삽입할 수 있게 해주기 때문에 웹 애플리케이션 보안에 큰 위협이 됩니다. 이 공격은 무고한 소비자를 이용해 중요한 정보를 노출하거나 잠재적으로 계정에 대한 통제권을 얻습니다. 웹 애플리케이션이 더욱 복잡하고 동적으로 변하면서 XSS 위협을 이해하고 대응하는 것이 강력한 보안 태세를 유지하는 데 중요해졌습니다. 이 기사에서는 XSS 공격에 대해 자세히 살펴보고 가능한 예방 전략을 살펴보겠습니다.
교차 사이트 스크립팅(XSS) 공격은 웹 애플리케이션에서 흔히 발생하는 보안 위험입니다. 공격자는 웹페이지의 취약점을 악용하여 의심하지 않는 사용자의 브라우저에 악성 스크립트를 삽입하고 실행합니다. 개발자는 다양한 XSS 공격과 이를 악용하는 방법을 이해하여 애플리케이션과 사용자를 보호할 수 있습니다.
Reflected XSS - Reflected XSS는 사용자 제공 데이터가 적절하게 정리되거나 인코딩되지 않은 채 웹 페이지 출력에 즉시 포함될 때 발생합니다. 공격자는 사용자가 의도치 않게 삽입된 스크립트를 실행하도록 속이기 위해 악성 URL이나 양식을 만듭니다. 스크립트는 피해자의 브라우저에서 실행되어 공격자가 중요한 정보를 훔치거나 승인되지 않은 작업을 수행할 수 있도록 합니다.
Stored XSS - 영구 XSS라고도 알려진 Stored XSS에는 대상 서버에 영구적으로 저장되는 악성 스크립트를 삽입하는 작업이 포함됩니다. 그러면 이러한 스크립트는 특정 웹 페이지나 리소스를 방문하는 사용자에게 제공됩니다. 의심하지 않는 사용자가 이러한 페이지를 보면 삽입된 스크립트가 실행되어 잠재적으로 계정이 손상되거나 민감한 데이터가 노출됩니다.
DOM_Based XSS - DOM 기반 XSS 공격은 웹 페이지의 DOM(문서 개체 모델)을 표적으로 삼습니다. 공격자는 서버 응답을 수정하는 대신 클라이언트 측 JavaScript 코드의 결함을 악용하여 악성 스크립트를 삽입하고 실행합니다. 악성 코드는 DOM과 상호 작용하여 페이지 콘텐츠를 변경하거나 중요한 데이터를 훔칩니다.
XSS 취약점은 공격 유형과 공격이 발생하는 환경에 따라 다양한 방식으로 악용될 수 있습니다. 공격자는 다음 방법을 사용할 수 있습니다 -
사용자 입력 필드, 댓글 또는 채팅 메시지에 스크립트 태그나 이벤트 핸들러를 삽입하세요.
JavaScript 함수와 개체를 사용하여 임의의 코드를 실행하세요.
XSS 취약점은 URL 매개변수나 양식 입력을 조작하여 발생할 수 있습니다.
XSS 공격의 메커니즘과 다양한 악용 가능성을 이해함으로써 개발자는 온라인 애플리케이션의 취약점을 더 잘 찾고 해결할 수 있습니다.
저희 웹사이트에서는 XSS 공격을 방지하기 위해 다양한 기술을 사용합니다. 기술은 다음과 같습니다 -
입력 유효성 검사는 사용자 입력을 필터링하고 삭제하는 데 있어 중요한 단계입니다. 화이트리스트(특정 문자나 패턴만 허용) 또는 블랙리스트(알려진 유해한 입력으로부터 보호)를 사용하세요. 입력 유효성 검사 및 삭제에 일반적으로 사용되는 함수는 다음과 같습니다. -
filter_var() - 다양한 데이터 유형을 검증하고 정리하기 위한 포괄적인 필터 세트를 제공합니다. 이를 통해 이메일 주소 확인, URL 삭제, 정수 확인 등과 같은 작업을 수행할 수 있습니다.
strip_tags() - 문자열에서 HTML 및 PHP 태그를 제거하여 입력을 효과적으로 삭제하고 잠재적인 스크립트 실행을 방지합니다. 특정 HTML 태그를 허용하되 잠재적으로 유해한 태그를 제거하려는 경우에 유용합니다.
preg_replace() - 정규식 기반 검색 및 바꾸기 작업을 수행할 수 있습니다. 사용자 입력에서 특정 패턴이나 문자를 제거하거나 바꾸는 등 고급 입력 삭제 작업에 사용할 수 있습니다.
strlen() - 문자열의 길이를 반환합니다. 사용자 입력 길이의 유효성을 검사하고 특정 길이 제한을 적용할 수 있습니다.
addslashes() - SQL에서 쿼리하거나 데이터베이스에 저장된 데이터를 처리할 때 특별한 의미가 있는 문자 앞에 백슬래시를 추가합니다.
스크립트가 올바르게 실행되지 않도록 출력을 인코딩하는 것이 중요합니다. 사용자 생성 자료를 안전하게 표시하려면 htmlspecialchars()와 같은 함수를 사용하여 특수 문자를 해당 HTML 엔터티로 변환하세요. 다음은 XSS를 방지하기 위해 htmlspecialchars()를 사용하는 방법에 대한 몇 가지 예입니다. -
“&”(앰퍼샌드)는 &
'"'(큰따옴표)는 “
'>'(보다 큼)은 >
'
"'"(작은따옴표)는 ' 또는 '
신뢰할 수 있는 콘텐츠 소스를 지정하려면 콘텐츠 보안 정책(CSP)을 구현하세요. "default-src 'self'"와 같은 지시문을 정의하여 동일한 소스에서 로드되는 리소스를 제한하여 악성 스크립트 실행 위험을 줄입니다.
이 예에서는 Content-Security-Policy 헤더를 사용하여 "self"의 default-src 지시문을 시행합니다. 이는 리소스가 동일한 소스에서만 로드되도록 허용하여 무단 스크립트 실행을 방지합니다. 우리가 사용할 수 있는 다른 리소스 지시문이 많이 있습니다.
以下是内容安全策略中的一些常用指令 -
script-src - 定义可以加载或执行 JavaScript 代码的源。
style-src - 定义可以加载样式表的源。
img-src - 指定可以加载图像的源。
connect-src - 定义可以发出网络请求的源，例如 AJAX 调用或 WebSocket。
font-src - 确定可以加载网络字体的来源。
frame-src - 指定可以嵌入框架或 iframe 中的源。
object-src - 指定可以加载嵌入对象（例如 Flash 或 Java 小程序）的源。
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);
在此示例中，我们通过将用户输入与 SQL 代码分离来防止 SQL 注入攻击。
这些库旨在使安全措施更易于部署，并针对潜在漏洞提供强有力的防御。以下是一些用于预防 XSS 的流行第三方 PHP 库 -
HTMLPurifier - 一个功能强大的库，可以过滤和清理 HTML 输入以删除潜在的恶意或不安全代码。它确保只允许安全有效的 HTML，防止通过受污染的用户输入进行 XSS 攻击。
AntiXSS - 由 Microsoft 开发的库，提供对用户输入进行编码以减轻 XSS 漏洞的方法。它提供了针对各种上下文（例如 HTML、JavaScript、URL 和 CSS）对用户生成的内容进行编码的功能。
PHP 安全建议 - 一个 Composer 插件，用于扫描项目的依赖项以查找已知的安全漏洞。它有助于识别具有已知 XSS 漏洞的库，并建议更新到安全版本。
HTMLSafe - 提供安全、上下文感知的 HTML 输出的库。它通过根据显示输出的上下文自动应用适当的编码来防止 XSS 攻击。
在本文中，我们研究了防止 HTML/PHP 中 XSS 攻击的各种方法。通过应用此类措施并使用多个众所周知的函数，您可以有效地保护您的 Web 应用程序免受 XSS 漏洞的侵害。
위 내용은 HTML/PHP로 XSS 공격을 방지하는 방법은 무엇입니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!
![[웹 프런트엔드] Node.js 빠른 시작](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
