February 2021
Beginner to intermediate
372 pages
6h 48m
Korean
Content preview from 웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.
301
22
장
XSS 공격 방어
XSS
공격 방어
CHAPTER
22
2
부에서는 사용자 장치의 브라우저가 자바스크립트를 실행한다는 점에 착안한
XSS
공격을 심
도 깊게 논의했다.
XSS
취약점은 널리 알려져 있으며 스크립트 실행에 의해 상당한 피해를 유
발할 수 있다.
하지만 다행히 시큐어 코딩 모범 사례와
XSS
완화 기법을 통해 피해를 줄이거나 완전히 방지
할 수 있다.
XSS
로부터 코드베이스를 지키는 방법을 알아보자.
22.1
안티
XSS
코딩 모범 사례
XSS
취약점을 완화하기 위해 개발 팀에서 구현할 수 있는 주요 규칙은 ‘문자열을 제외한 사용
자 제공 데이터를
DOM
에 전달하지 말라’는 것이다.
많은 애플리케이션에는 사용자를
DOM
데이터 전송에 통합하는 다양한 기능이 있으므로 이러
한 규칙이 모든 애플리케이션에 적용되는 것은 아니다. 따라서 ‘정제되지 않은 사용자 제공 데
이터를 절대
DOM
으로 전달하지 말라’는 규칙을 세울 수 있다.
사용자 제공 데이터를 가지고
DOM
을 채우도록 허용하는 것은 마땅한 방법이 없을 때를 위한
최후의 수단으로 삼아야 한다. 그러한 기능은
XSS
취약점으로 이어질 수 있으므로 다른 방법
을 먼저 찾는 것이 우선이다.
302
3
부
방어
사용자 제공 데이터를
DOM
에 반드시 전달해야 하는 경우는 가능하면 문자열 형식을 사용해
야 한다. ...
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
and much more.
Read now
Unlock full access
More than 5,000 organizations count on O’Reilly
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.Julian F.
I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.Addison B.
I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.Amir M.
I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.