웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것

153

7

장

애플리케이션 아키텍처 약점 식별

element.innerHTML = DOMPurify.sanitize(data);

} else { // 표준 사례(디폴트)

element.innerText = data;

}

};

이와 같이 애플리케이션에 함수를 두는 것만으로도 코드베이스에서

XSS

취약점이 발생할 위

험이 크게 줄어든다.

그렇지만 메서드를 어떻게 구현하는지가 중요하다.

unsafe

라는 레이블을 붙인

DOM

인젝션

플래그에 유의하자. 이 기능은 사용하지 않는 것이 디폴트이며 함수 시그너처의 마지막 매개변

수이므로 실수로 잘못 설정할 가능성이 낮다.

위의

appendToDOM

메서드와 같은 메커니즘은 안전한 애플리케이션의 지표다. 이러한 보안 메

커니즘이 부족한 애플리케이션은 취약점이 발생할 확률이 더 높다. 이와 같이 안전하지 않은

애플리케이션 아키텍처를 식별하는 것은 취약점을 발견하고 코드베이스 개선의 우선순위를 세

우는 데 중요하다.

7.2

다중 보안 계층

메시징 서비스의 아키텍처를 고려한 앞의 예에서

XSS

위험이 발생할 수 있는 여러 계층을 다

음과 같이 나눴다.

●

API

POST

●

데이터베이스 쓰기

●

데이터베이스 읽기

●

API

GET

●

클라이언트 읽기

XXE

나

CSRF

같은 취약점에 대해서도 같은 접근을 취할 수 있다. 각 취약점은 한 계층 이상의 ...