XSS 공격에 대한 설명으로 옳은 것은? | [9급 지방직 정보보호론] 17년 2회차 기출문제 상세 페이지
1[9급 지방직 정보보호론] 17년 2회차
XSS 공격에 대한 설명으로 옳은 것은?
1
자료실에 올라간 파일을 다운로드할 때 전용 다운로드 프로그램이 파일을 가져오는데, 이때 파일 이름을 필터링하지 않아서 취약점이 발생한다.
2
악성 스크립트를 웹 페이지의 파라미터 값에 추가하거나, 웹 게시판에 악성 스크립트를 포함시킨 글을 등록하여 이를 사용자의 웹 브라우저 내에서 적절한 검증 없이 실행되도록한다.
3
네트워크 통신을 조작하여 통신 내용을 도청하거나 조작하는 공격 기법이다.
4
데이터베이스를 조작할 수 있는 스크립트를 웹 서버를 이용하여 데이터베이스로 전송한 후 데이터베이스의 반응을 이용하여 기밀 정보를 취득하는 공격 기법이다.
해설
XSS 에 대한 옳은 설명은 악성 스크립트를 파라미터나 게시글에 넣어 사용자 브라우저에서 실행되게 하는 공격이라는 것이다.
XSS 는 서버가 입력값을 검증·이스케이프하지 않고 그대로 출력할 때 발생하며, 피해자의 웹 브라우저에서 스크립트가 실행되어 쿠키 탈취 등이 일어난다.
- 다운로드 프로그램이 파일 이름을 필터링하지 않아 생기는 취약점은 파일 다운로드(경로 조작) 취약점이다.
- 네트워크 통신을 조작해 도청·변조하는 것은 중간자 공격·스니핑 계열이다.
- 데이터베이스를 조작하는 구문을 보내 반응으로 기밀 정보를 얻는 것은 SQL 인젝션이다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.