사랑하기 위해 필요한 것들

이번에는 XSS공격에 대하여 몇자 적어 봅니다.

Cross Site Scripting은 웹사이트에 접속한 사용자가 공격의 대상이 되는 기법으로, 사용자의 입력 값에 악의적인 Javascript code를 삽입하여 웹 페이지를 로드 함으로 현재 페이지를 열람하는 사용자에게 스크립트를 실행시키도록 하는 것입니다. 그러므로 사용자의 입력을 받는 모든 사이트에서 XSS공격이 일어날 가능성이 있습니다. 특히 다음과 같은 상황에서 자주 발생합니다.

1. 검색할 단어를 입력하는 Input 영역에서 검색단어를 입력한 후, 검색 결과와 함께 입력한 검색 키워드를 다시 보여주는 경우

2. 사용자 입력 폼에 입력한 내용들을 다시 출력하는 경우

3. 게시판에서 쓴 내용들을 열람하는 경우

공격자는 XSS를 통해서 사용자의 쿠키를 변경하거나 탈취할 수 있으며 정상적인 사용자에 대해서 잘못된 정보를 보내줄 수도 있습니다. 이러한 XSS는 최근 Phishing기법에 많이 사용되는데 악의적인 사용자가 변조된 입력 폼을 제공함으로 다른 사용자의 정보가 노출되고 있습니다. 또한 자바 스크립트 코드뿐만 아니라 object들을 사용자의 브라우저상에서 실행시킴으로 광고팝업이나 브라우저를 변조할 수 있습니다.

XSS 공격을 방어하는 가장 좋은 방법은 어플리케이션이 모든 header 들, cookie, query string, form field, hidden field (예를 들면, 모든 parameter 들) 에 대해 유효성 검사를 실시하는 것입니다. 사용자의 입력이 화면에 출력되어 나오는 경우, 사용자의 입력 값을 HTML Entity로 변환시켜야만 합니다. 또한 위의 태그들을 HTML으로 인식시키지 않기 위해 스크립트에서는 함수를 지원합니다. 그리고 공개 게시판의 경우, HTML 형식을 지원하는 경우 XSS의 잠재적인 위험성이 존재하므로, 이를 중지할 필요가 있습니다.

기본 대책

이것또한 간단 하게 기본적인 부분만 처리 해주어도 상당부분 방어가 가능합니다.

조금 귀찮더라도 이정도 처리는 해주어야 하지 않을까 합니다.

if( navigator.appName.indexOf("Microsoft") > -1 ) // IE?

{

if( navigator.appVersion.indexOf("MSIE 6") > -1) // IE6?

{

// code

}

else if( navigator.appVersion.indexOf("MSIE 7") > -1) // IE7?

{

// code

}

}

출처 - http://www.dezrare.com/604

===================================================================================

1. 브라우저 헤더정보

<script language="javascript">

function userAgent()
{
var browserType = "";
if(navigator.userAgent.indexOf("MSIE") != -1)
{
browser = "IE";
return browserType;
}
if(navigator.userAgent.indexOf("Firefox") != -1)
{
browser = "FF";
return browserType;
}
if(navigator.userAgent.indexOf("Mozilla") != -1)
{
browser = "MZ";
return browserType;
}
if(navigator.userAgent.indexOf("Opera") != -1)
{
browser = "OP";
return browserType;
}
if(navigator.userAgent.indexOf("Safari") != -1)
{
browser = "SF";
return browserType;
}
if(navigator.userAgent.indexOf("Mac") != -1)
{
browser = "MC";
return browserType;
}

browser = "NG";
return browserType;
}
</script>

2. 객체존재여부
<script language="javascript">
function userAgent()
{
if(window.ActiveXobject){
browser = "IE";
return browserType;
}
else {
browser = "NG";
return browserType;
}
}
</script>

출처: http://blog.naver.com/cowboy0626/30007053474

IE Conditional Comments 필터링

2007.08.27 , 오후 01:45 웹 접근성,코드 7 comments »

W3C의 규격에 의거하여 CSS 코드를 작성하더라도, 각각의 웹 브라우저마다 웹 페이지가 다르게 출력되는 문제가 있습니다. 이러한 문제는 브라우저들이 CSS 규격을 조금씩 서로 다르게 해석하고 출력할 뿐더러, 몇몇 규격은 전혀 출력하지 못하기 때문에 발생합니다.

이처럼 브라우저가 CSS를 W3C 규격과 다르게 출력하거나, 전혀 출력하지 못하는 문제를 CSS 출력 버그(CSS Rendering Bug)라고 합니다. CSS 출력 버그는 표준을 준수하여 웹 페이지를 제작할 때 가장 큰 걸림돌이 됩니다. W3C 규격 외에도 각각의 웹 브라우저들의 CSS 출력 현황에 대해서도 이해해야 하며, 이러한 버그들을 잡는 방법까지 파악해야 하기 때문입니다.

IE7, FF1~2, Opera9, Safari처럼 최근에 출시된(morden) 웹 브라우저들은 W3C 규격에 맞춰서 CSS를 출력합니다. 문제는 IE6, NN7 이하의 오래된 브라우저들이죠. 특히 높은 브라우저 시장 점유율을 기록중인 IE6 브라우저의 CSS 출력 버그들이 큰 문제입니다.

이러한 CSS 출력 버그들을 CSS Hack과 Filtering으로 대처할 수 있습니다. 예전에는 CSS Hack을 많이 사용했으나, IE7이 출시된 이후로는 CSS Filtering을 주로 사용합니다. 특히 사용이 간단하고 MS에서 추천하는 방법인 IE Conditional Comments Filtering(IE CC-필터링)을 가장 많이 사용합니다.

IE CC-필터링 소개

IE Conditional Comments은 MS에서 제시한 방법으로 MS IE5 이상의 브라우저에서 사용할 수 있습니다. 이 방법을 이용하면 IE 버전에 따라 HTML 코드를 숨기거나 보일 수 있습니다. 사용자의 IE 버전 별 조건(Condition)을 HTML의 주석(comments)의 구조로 필터링하는 방법기에 IE-CC 필터링이라고 하며, 간단하게 IE-CCF라고 합니다.

아래의 코드를 이용하면 ie7only.css를 IE7에서만 사용할 수 있습니다.

<!--[if IE 7]>

<link rel="stylesheet" type="text/css" href="ie7only.css">

<![endif]-->

IE CC-필터링을 사용하는 이유

IE6 이하의 브라우저는 CSS 선택자(selector)에 접근하지 못하는 문제가 있습니다. 이 점을 이용해서 IE6 이하의 브라우저에 특정한 CSS를 추가하거나 숨기는 방법이 바로 CSS Hack입니다. 하지만 CSS2 규격에 정의된 대부분의 선택자를 이용할 수 있는 IE7이 출시되면서, 기존에 사용해왔던 대부분의 CSS Hack들 사용할 수 없게 됐습니다. 이 때문에 최근엔 대부분 웹 개발자와 디자이너들이 브라우저의 CSS 출력 버그를 대처하기 위해서 CSS Filer를 사용합니다.

물론, IE CC-필터링은 HTML에 문법에 맞지 않고 불필요한 코드를 추가하는 문제점이 있습니다. 이에 어떤 개발자는 JS를 이용해서 브라우저의 종류와 버전을 판별하는 방법을 이용하기도 합니다. 하지만 JS를 이용한 방법은 IE CC-필터링보다 코드가 길고 복잡할 뿐더러, DOM으로 접근하기엔 브라우저 파싱 순서가 늦어서 출력되는데 문제가 발생합니다. 즉, CSS 출력 버그를 처리하는데 IE CC-필터링이 최선은 아니지만, 현재로써 가장 확실한 차선책입니다.

IE CC-필터링 사용법

IE Conditional Comments은 HTML 주석 구조에, IE의 조건문을 포함합니다. IE 조건문은 IE의 버전과 상하관계, 부정조건 등을 사용할 수 있습니다.

<!--[if 조건]>HTML 코드<![endif]-->

조건문에 사용할 수 있는 요소

IE CC-필터링 예제

IE7일 경우 ie7only.css를 사용

<!--[if IE 7]>

  <link rel="stylesheet" type="text/css"  href="ie7only.css">

<![endif]-->

IE이 아닐 경우 non-IE.css를 사용

<![if !IE]>

  <link rel="stylesheet" type="text/css"  href="non-ie.css">

<![endif]>

IE7 이하일 경우 ieOld.css를 사용

<!--[if lt IE7]>

  <link rel="stylesheet" type="text/css" href="ieOld.css">

<![endif]-->

IE일 경우 IE.js를 사용하고, IE7 이하일 경우 IE-old.css를 사용

<![if IE]>

        <script type="text/JavaScript" src="http://hooney.net/js/ie.js"></script>

        <!--[if lt IE7]>

               <link rel="stylesheet" type="text/css" href="ie-old.css">

        <![endif]-->

<![endif]-->

위에서 소개한 IE CC-필터링 외에도, 다양한 방법의 필터링 방법이 있습니다. Communis에서 CSS만을 이용하거나, HTML을 함께 이용하거나, 또는 JS를 이용하여 필터링하는 방법을 확인할 수 있습니다.

• CSS filtering using CSS only
• CSS filtering using (X)HTML
• CSS filtering using Javascript
• Non-validating Hacks

참고 URI

• MSDN : About Conditional Comments
• QuirksMode : Conditional comments
• Wikipedia : CSS filter
• Centricle : CSS filters Table
• WaSP : IE7 Conditional Comments

• TAG : browser, comment, filter, hack, ie, table, 코드
• RSS : 매번 사이트에 방문하지 않아도 RSS로 편리하게 글을 구독할 수 있습니다.
• CCL : 이 저작물은 크리에이티브 커먼즈 라이센스에 의하여 이용할 수 있습니다.

또 다른 읽을거리

• Related Post
• Random Post
• Recent Post

Related Post

• 파이어폭스의 default CSS
• Internet Exploer 5.5만 사용할 수 있는 환경
• 파이어폭스 세계 브라우저 시장 점유율 13.71%
• IBM의 접근성 브라우저 곧 출시
• 웹 브라우저 업그레이드 캠페인 2
• 브라우저 업그레이드 캠페인 1
• Virtual PC를 이용한 IE6, IE7 함께 사용하기
• Internet Explorer 7 한글판 출시 기념 이벤트
• 인터넷익스플러가 사람 여럿 바보 만드는구나..
• 3대 위키 비교표

참조 사이트 - 웹쟁이 조훈의 후니넷 (http://hooney.net)

▣ SQL Server 2005 / 2008 버전 확인 방법

SQL Server Management Studio를 사용하여 SQL Sever에 연결, [새쿼리]를 클릭 후Transact-SQL 문을 실행합니다.

SELECT  SERVERPROPERTY('productversion'), SERVERPROPERTY ('productlevel'), SERVERPROPERTY ('edition')

위의 쿼리 문을 실행시키면 나오는 결과문에 따라 버전 상세 정보를 확인 할 수 있습니다.

EX) SQL Server 2005 결과
9.0.4035 SP3 Enterprise Edition
 

EX) SQL Server 2008 결과
10.0.1600.0 RTM Enterprise Edition
 

▣ SQL Server 2000 버전 확인 방법
SQL Server 2000의 경우 '쿼리 분석기'를 사용하여 SQL Server 2000에 연결 한 후, 다음 쿼리문을 실행합니다.
SELECT  SERVERPROPERTY('productversion'), SERVERPROPERTY ('productlevel'), SERVERPROPERTY ('edition')

쿼리 문 실행 결과물로 상세 버전 확인 할 수 있습니다.

EX) SQL Server 2000 결과
8.00.2039 SP4 Standard Edition

★ SQL Server 제품 버전 목록

SQL Server 2008 version number examples:
-RTM: 10.0.1600.*
-SP1: 10.0.2531.*

SQL Server 2005 version number examples:
-RTM: 9.0.1399.*
-SP1: 9.0.2047.*
-SP2: 9.0.3042.*
-SP3: 9.0.4035.*

SQL Server 2000 version number examples:
-RTM: 8.0.194.*
-SP1: 8.0.384.*
-SP2: 8.0.534.*
-SP3: 8.0.760.0
-SP3a: 8.0.760.*
-SP4: 8.0.2039.*

[ ASP 정규 표현식 사용 예제]

Function Word_check(str,patrn)
    Dim regEx, match, matches

    SET regEx = New RegExp
    regEx.Pattern = patrn            ' 패턴을 설정합니다.
    regEx.IgnoreCase = True            ' 대/소문자를 구분하지 않도록 합니다.
    regEx.Global = True         ' 전체 문자열을 검색하도록 설정합니다.
    SET Matches = regEx.Execute(str)

 if 0 < Matches.count then
  Word_check = false
 Else
  Word_check = true
 end if
End Function

위의 코드는 정규식을 이용해서 문자열이 패턴만으로 이뤄졌는지 확인하는 함수 입니다.

사용 방법은

response.write Word_check("문자열","패턴")

몇가지 패턴을 적어보자면

pattern0 = "[^가-힣]"  '한글만
pattern1 = "[^-0-9 ]"  '숫자만
pattern2 = "[^-a-zA-Z]"  '영어만
pattern3 = "[^-가-힣a-zA-Z0-9/ ]" '숫자와 영어 한글만
pattern4 = "<[^>]*>"   '태그만

pattern5 = "[^-a-zA-Z0-9/ ]"    '영어 숫자만