다음 문장에서 설명한 공격 위협은 무엇인가?웹 애플리케이션에서 사용자 … | [정보보안기사 필기] 22년 1회차 기출문제 상세 페이지
1[정보보안기사 필기] 22년 1회차
다음 문장에서 설명한 공격 위협은 무엇인가?웹 애플리케이션에서 사용자 입력 값에 대한 필터링이 제대로 이루어지지 않을 경우, 공격자는 사용자 입력 값을 받는 게시판, URL 등에 악의적인 스크립트(Javasript, VBScript, ActiveX, Flash 등)를 삽입하여 게시글이나 이메일을 읽는 사용자의 쿠키(세션)를 탈취하여 도용하거나 악성코드 유포 사이트로 Redirect 할 수 있음
1
SSI 인젝션
2
XPath 인젝션
3
크로스사이트 스크립팅
4
악성 콘텐츠
해설
입력값 필터링이 부실한 게시판·URL에 악성 스크립트를 심어 글을 읽는 다른 사용자의 쿠키(세션)를 탈취하고 악성코드 유포지로 리다이렉트시키는 것은 크로스사이트 스크립팅(XSS)이다.
핵심은 공격 코드가 서버가 아니라 피해자의 브라우저에서 실행된다는 점이다. 지문에 나열된 JavaScript·VBScript·ActiveX·Flash가 모두 클라이언트 측에서 동작하는 실행 요소라는 사실이 이를 뒷받침한다.
- SSI 인젝션은 서버가 해석하는 지시어를 삽입해 서버 쪽에서 명령·파일 읽기가 일어나게 한다.
- XPath 인젝션은 XML 데이터 질의문을 조작해 인증 우회나 정보 탈취를 노린다.
- 악성 콘텐츠는 악성 파일을 올려 유포하는 유형으로, 열람자 세션 탈취를 목적으로 한 스크립트 삽입과 구분된다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.