웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것

327

24

장

XXE 방어

●

JSON

은

XML

에 비해 경량이다.

●

JSON

은 융통성 있고 빠르며 페이로드를 다루기 쉽다.

●

JSON

은 자바스크립트 객체를 매핑하는 반면,

XML

은

DOM

트리에 가깝다 (

DOM

이

XML

에서 파생된 포맷이기 때문이다 ).

이러한 사실로부터 최종적으로 렌더링을 할 페이로드에는

XML

이 여전히 이상적이겠지만 자

바스크립트에 의해 해석되는 경량 구조화된 데이터를 다루는

API

에는

JSON

을 대안으로 삼아

야 한다는 결론을 내릴 수 있다.

XML

에는 스키마 검증이 있으므로 아주 엄격한 데이터 구조가 필요한 애플리케이션에도 유용

할 수 있다. 반면

JSON

은 덜 엄격하고 클라이언트와 서버 사이에 지속적인 유지보수가 필요하

지 않은 계약 등 계속 개발되는

API

에 적합하다.

XML

의 보안 위험은 명세의 강력함과 함께 외부 파일과 멀티미디어를 포함한다는 사실에서 비

롯되는 부분이 크다. 문자열 기반으로 단순히 키/값 쌍을 저장하는

JSON

보다는 안전성이 떨

어질 수 밖에 없다.

조직에서

JSON

으로 바꾸는 것을 달가워하지 않는다면

YAML

,

BSON

,

EDN

등의 다른 대안

도 있지만 마찬가지로 충분한 검토가 선행되어야 한다.

24.2

고도화된

XXE

위험

XXE

공격은 종종 읽기 전용 공격으로 시작하지만 좀 더 고도화된 형태의 공격으로 발전할 수

있다.

XXE

는 공격자로 하여금 웹 서버 외부에서 액세스할 수 없는 데이터에 액세스할 수 있게

해주는 정찰 플랫폼을 제공하는 일종의 ‘관문’ 공격이다.

이 데이터를 사용하면 애플리케이션의 ...