해당 취약점을 발견한 선린인터넷고등학교 Layer7, CTF팀 Slipper 소속 문시우 학생은 “메일, 블로그, 카페 중 선택을 했을 때 여러 페이지를 거쳐서 작성 페이지로 넘어가는데 여기서 cloud.XXXXX.com/forwardEuckr.XXX 페이지에서 Reflected XSS 취약점이 발생한다”며 “여기에 파라미터로 ‘12345’를 주었을 때 페이지에서 파라미터를 그대로 자바스크립트에 대입해 코드를 실행하고 있다”고 설명했다.
이때 파라미터에 해커가 임의로 스크립트를 삽입한다면 해당 스크립트가 실행되면서 Reflected XSS 취약점이 발생하는 것이다.
만약 해커가 악의적인 목적을 가지고 스크립트를 삽입한다면 유저들에게 피해를 줄 수 있다. 스크립트가 삽입됐을 때 코드가 동작해 해커가 원하는 스크립트를 실행할 수 있게 되는 취약점이다.
해당 취약점을 패치하는 방법에 대해서는, 파라미터의 값을 바로 자바스크립트로 넘겨받지 말고 적절한 인코딩과 필터링 같은 검증을 거친 뒤에 사용해야 한다고 밝히고 가능하면 파라미터의 값을 페이지에 표시하는 것을 줄이는 것이 좋다.
★정보보안 대표 미디어 데일리시큐!★
■ 보안 사건사고 제보 하기
★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★
저작권자 © 데일리시큐 무단전재 및 재배포 금지