WordPress 및 XSS(교차 사이트 스크립팅)

게시 됨: 2022-11-02

교차 사이트 스크립팅 공격은 인터넷에서 볼 수 있는 보다 일반적인 웹 사이트 공격 유형 중 하나입니다. 웹 사이트, 방문자 및 비즈니스의 보안을 보호하기 위해서는 이러한 정보가 무엇인지, 이에 대해 보호하는 방법을 이해하는 것이 중요합니다. 자세히 알아보려면 계속 읽어보세요!

교차 사이트 스크립팅 공격이란 무엇입니까?

Cross-Site Scripting 공격(더 일반적으로 XSS 공격이라고 함)은 최종 사용자를 해칠 의도로 악성 코드(일반적으로 JavaScript) 조각이 웹 페이지에 삽입될 때 발생합니다.

이 코드는 일반적으로 URI(Uniform Resource Identifier) 끝에 매개변수로 삽입되거나 사용자 입력 양식과 같은 웹 페이지의 웹 애플리케이션을 사용하여 삽입됩니다. 악성 코드는 일반적으로 액세스 제어를 무시하고 웹사이트의 기능을 조작하도록 설계됩니다.

사이트 간 스크립팅 취약점

지금까지 살펴본 것처럼 XSS 공격은 취약한 웹 사이트에 액세스하여 유해한 활동을 수행하기 위해 악성 코드를 사용하는 웹 기반 공격입니다. 이 문장의 키워드는 '취약하다'입니다. 이것은 (불행히도!) 많은 것을 의미할 수 있습니다. 'admin'과 '123456'을 사용자 이름과 비밀번호로 사용하는 워드프레스 웹사이트는 다른 모든 보안 조치를 취하더라도 취약합니다. 오래된 플러그인을 실행하는 WordPress 웹 사이트는 취약한 것으로 간주될 수 있습니다. 또는 양식 내에 사용자 입력을 포함하고 제출된 값의 유효성을 검사하거나 인코딩하지 않는 웹 응용 프로그램도 취약한 것으로 간주됩니다.

XSS 공격을 배포하는 해커는 악용할 수 있는 취약점을 지속적으로 감시합니다. 더 일반적으로 발견되어 더 많은 웹 사이트를 공격에 개방하는 것이 당연히 선호되지만 해커는 해커로서 그들에게 높은 가치가 있다고 생각하는 웹 사이트를 공격하기 위해 더 모호한 취약점을 찾을 것입니다.

잠재적인 취약점이 너무 많고 공격 유형이 다양하기 때문에 잠재적인 취약점을 식별하고 공격을 완화하는 것이 까다롭습니다.

대상 웹사이트

웹 기반 이메일 서버 또는 클라이언트, CRM/ERP 시스템, 공개적으로 사용 가능한 프로필 페이지(예: 소셜 미디어 사이트 및 회원 그룹에서 일반적으로 볼 수 있는 페이지 등)는 XSS 공격의 훌륭한 대상이 되는 일부 유형의 웹사이트 및 애플리케이션입니다. .

일반적으로 취약한 다른 사이트는 사용자가 포럼이나 댓글 필드와 같이 다른 사람들이 볼 수 있는 HTML 형식의 텍스트를 게시할 수 있는 사이트입니다.

사이트 간 스크립팅 유형

XSS(교차 사이트 스크립팅)로 알려진 공격은 주입된 코드가 서버에서 실행되는지 아니면 공격을 시도하는 사람의 브라우저에서만 실행되는지에 따라 세 가지 기본 유형으로 나눌 수 있습니다. 다음과 같습니다.

공격자가 삽입한 코드가 서버에 영구적으로 저장되는 영구(또는 저장) XSS.
비영구적(또는 반사적) XSS: 최종 사용자가 사용하도록 속이는 제작된 URL을 통해 공격이 이루어집니다.
다른 모든 유형과 마찬가지로 방문자의 브라우저 내에서도 수행되는 DOM 기반 XSS(또는 클라이언트 측 XSS)는 사이트의 DOM을 변경한다는 차이점이 있습니다.

사이트 간 스크립팅 XSS의 영향

XSS 공격이 미칠 수 있는 영향은 다양한 요인에 따라 달라집니다. 가장 큰 것 중 하나는 저장되고 공격의 대상이 되는 데이터의 민감도일 것입니다. 요리에 관한 포럼의 댓글은 정부 웹사이트에 있는 비밀보다 덜 민감합니다!

일반적으로 XSS 공격의 대상은 웹사이트나 애플리케이션을 사용하는 개인입니다. 공격 유형과 삽입된 스크립트에 따라 공격자는 피해자의 세션 쿠키와 액세스 자격 증명과 같은 개인 데이터를 훔칠 수 있습니다. 공격은 신용 카드 데이터와 같은 민감한 정보를 빼내려고 시도할 수도 있습니다(이것이 존재한다고 가정).

XSS 공격에 대해 특히 끔찍한 점은 효과적으로 마스킹된다는 것입니다. 따라서 표적이 된 사용자는 아무 것도 잘못되었다는 사실을 모를 때 악의적인 피해를 입힐 수 있는 개인으로 나타날 수 있습니다.

분명히 이것이 비즈니스에 미치는 영향은 상당할 수 있습니다. 웹사이트를 손상시키고 잠재적으로 민감한 정보를 노출시키는 모든 해킹은 나쁜 소식입니다. 얼마나 나쁜지는 공격의 심각성과 고객에게 미치는 영향에 달려 있습니다.

XSS 공격으로부터 WordPress 사이트 보호

WordPress 웹 사이트는 XSS 공격의 공정한 몫을 겪고 있습니다. 부분적으로 이것은 WordPress(현재 전 세계적으로 43.1%)를 기반으로 하는 사이트의 수 때문입니다. 또한 많은 WordPress 플러그인이 가지고 있는 많은 XSS 취약점의 결과이기도 합니다. 결과적으로 이것은 통계적으로 말해서 WordPress 웹 사이트에서 사용되는 플러그인이 많을수록 XSS 공격을 받을 가능성이 더 커집니다.

이 때문에 일반적으로 WordPress 웹사이트의 XSS 취약성을 최소로 줄이기 위해 필요한 모든 것은 공격자의 URL에 포함될 수 있는 모든 변수의 유효성을 검사하고 삭제하는 것입니다. 다음은 사이트를 보호하기 위해 사이트에 적용할 수 있는 기타 특수 솔루션과 함께 몇 가지 일반적인 팁입니다.

'XSS 취약점 방지' 플러그인 배포

아마도 놀랍지 않게(WordPress) XSS 공격의 위험을 줄이는 데 도움이 될 수 있는 플러그인이 개발되었습니다. 'XSS 취약점 방지'라고 합니다.

플러그인을 설치하고 활성화하면 "반영된 교차 사이트 스크립팅(XSS)" 메뉴 항목이 표시되는 설정 페이지로 이동합니다.

XSS 방지 플러그인은 기본적으로 URL에서 차단되는 엔터티 범위를 구성합니다. 이것은 그들의 궤도에서 공격을 막는 데 도움이 됩니다. 기본 설정 외에도 URL에서 차단하려는 엔터티를 추가로 지정할 수 있습니다.

플러그인이 URL에서 인코딩하는 엔터티도 마찬가지입니다. 쉼표로 구분하여 제공된 텍스트 영역에 인코딩하지 않으려는 엔티티를 제외할 수 있습니다.

또한 $_GET 매개변수에서 HTML을 이스케이프하여 취약점을 보호합니다. 따라서 누군가가 URL에 HTML을 삽입하려고 하면 작동하지 않습니다.

플러그인을 설치하고 설정 조정을 마치면 최소한 무작위로 몇 페이지를 확인하여 웹사이트가 제대로 작동하는지 확인하는 것이 매우 중요 합니다. WooCommerce를 사용하는 경우 특히 중요합니다. 이 경우 전체 체크아웃 프로세스(결제 포함)를 거쳐야 제대로 작동하는지 확인하세요.

출력 데이터 보호

방문자로부터 입력을 수신할 때 입력의 유효성을 검사하는 것을 제외하고 데이터를 출력하는 모든 HTTP 응답도 인코딩해야 합니다. 실제로 이것은 모든 문자가 HTML 엔티티 이름으로 변환되어야 함을 의미합니다.

WordPress 개발자라면 읽을 가치가 있는 출력 데이터 이스케이프에 대한 훌륭한 핸드북이 있습니다.

Pressidium을 사용한 XSS 공격 보호

Pressidium으로 호스팅하는 경우 XSS 공격을 포함하여 다양한 방식으로 웹사이트를 보호하는 Managed Web Application Firewall Layer의 보호를 자동으로 누리게 됩니다. 이를 통해 웹사이트에 대한 걱정 없이 비즈니스에만 집중할 수 있습니다. 여기에서 Pressidium 플랫폼의 기능에 대해 자세히 알아보십시오.