February 2021
Beginner to intermediate
372 pages
6h 48m
Korean
Content preview from 웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.
310
3
부
방어
것이다.
결론적으로
CSS
공격을 피하는 방법은 다음과 같다.
쉬움
사용자가
CSS
를 업로드하지 못하게 한다.
보통
사용자가 특정 필드만 수정할 수 있게 하고 이러한 필드를 사용해 서버에 커스텀 스타일 시
트를 생성한다.
어려움
HTTP
를 사용하는
CSS
어트리뷰트 (
background
:
url
)를 정제한다.
22.4
XSS
를 방지하기 위한 콘텐츠 보안 정책
CSP
는 모든 주요 브라우저에서 지원하는 보안 구성 도구로 개발자가 애플리케이션에서 실행
되는 코드에 따라 보안 규칙을 느슨하게 하거나 더 강하게 설정할 수 있다.
CSP
는 어떤 외부 스크립트를 로딩할 것인지, 어디에 로딩할 수 있는지, 어떤
DOM
API
가 스
크립트를 실행하게 허용할 것인지와 같이 여러 가지 보호를 해준다.
XSS
위험을 완화하는 데 도움이 될 만한
CSP
구성을 몇 가지 살펴보자.
22.4.1
스크립트 소스
XSS
로 닥칠 수 있는 큰 위험은 자기 소유가 아닌 스크립트를 실행하는 것이다. 자신의 애플리
케이션을 위해 직접 작성한 스크립트는 최선의 의도로 작성된 것으로 가정할 수 있다. 그러한
스크립트가 악의적일 가능성은 낮다.
한편 타인이 작성한 스크립트를 여러분의 애플리케이션에서 실행할 때는 그 스크립트가 악의
311
22
장
XSS 공격 방어
적 의도를 갖고 있지 않을 것으로 단정할 수 없다. ...
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
and much more.
Read now
Unlock full access
More than 5,000 organizations count on O’Reilly
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.Julian F.
I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.Addison B.
I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.Amir M.
I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.