[Java] 웹 취약성 XSS

크로스 사이트 스크립트(XSS : cross-site scripting)

검증되지 않은 외부 입력값을 응답의 일부로 사용하는 경우 사용자 브라우저에서 악의적인 스크립트가 실행될 수 있는 보안 약점

<%
	String errmsg = request.getParameter("errmsg");
%>

....

<td>
	<b>Message</b>
</td>
<td>
	<%=errmsg%>
</td>

위의 코드와 같이 request.getParameter("errmsg") 을 통해 가져온 parameter 값을
jsp 파일의 <%=errmsg%> 로 바로 사용하는 경우 XSS 보안 이슈를 발생시킬 수 있습니다.

 

 

해결방안

1. XSS 방지 필터 사용

<%
	String errmsg = request.getParameter("errmsg");
	errmsg = errmsg.replaceAll("<(/)?([a-zA-Z]*)(\\s[a-zA-Z]*=[^>]*)?(\\s)*(/)?>","").replaceAll("\r|\n|&nbsp;","");
%>

....

<td>
	<b>Message</b>
</td>
<td>
	<%=errmsg%>
</td>

errmsg = errmsg.replaceAll("<(/)?([a-zA-Z]*)(\\s[a-zA-Z]*=[^>]*)?(\\s)*(/)?>","").replaceAll("\r|\n|&nbsp;",""); 
parameter 정보 replaceAll하는 코드 추가

 

2. JSTL <c:out> 태그 사용

<%
	String errmsg = request.getParameter("errmsg");
%>

....

<td>
	<b>Message</b>
</td>
<td>
	<c:out value="${errmsg}"/>
</td>

<%=errmsg%> 을 <c:out value="${errmsg}"/> 로 변경

 

참고: https://www.devkuma.com/docs/secure-coding-guide/xss/