[SPRING, LUCY XSS FILTER] 웹 취약점으로 이것저것 시도 해보고있습니다.

Question

원래 만들어논 xssFilter가 있어서 사용중이였는데 웹취약점에 걸렸습니다.게시판쪽인데 '네이버 SMART EDITOR' 적용되어있구요.취약점 사항은 stored xss 인데, 아맏 reflect도 동시에 걸렸을거 같아요.원래 필터에서 script, javascript등등 해놨는데 '<' '>' 는 필터링을 안되고 있더라구요.꺽쇄들은 필터링이 안되어있길래 추가를 해주면서 stored 는 막았습니다.근데 게시판에서 뿌려줄 때 태그가 그대로 노출되는 상황이라, 스타일이 먹히지 않네요.그래서 다시 뿌려줄 때 < > 들을 원래 문자로 바꿔주니까 스타일은 나오는데이렇게 되면 또 reflect에 걸리게 되고..그래서 LUSY FILTER를 적용하기로 했습니다. '화이트리스트'를 사용해서 허용하는 태그만 치환해준다고 하길래 바로 적용을 해봤습니다.그런데 정확하게 필터링이 안되는거 같더라구요.'화이트리스트'를 사용한다는건 제가 설정파일에 작성한 허용되는 태그들은 제외하고,나머지 태그들은 라이브러리에서 필터링을 해주는거라고 생각했는데 그게 아닌가봐요.ex1) 제가 생각 한건 이런식으로 설정을 주면 태그를 제외한 나머지 태그들은 모두 치환될거라고 생각했는데 안됨ex2) 이런식으로 input태그를 명시해줘야 치환을 해줌.또 radio태그 td태그는 명시를 안해도 치환해주는데 input, table, tr 태그는 명시를 해줘야 치환해줌.이런식으로 작동하다보니 이게 화이트리스트 방식이 아니라 블랙리스트 방식으로 한거같다는 생각이 드네요.lucy xss filter 에서 기본적으로 걸러주는 태그는 어디서 확인 할 수 있나요? 원래 이렇게 조금밖에 필터링 안해주나요?게시판에 xss Filter를 적용하려면 지금 방식대로 적용하는게 맞는 방법인가요?쉽게 생각했는데 에디터가 껴있으니까 머리가 너무 혼란스럽네요.도움 요청드립니다 ( _ _ )

[SPRING, LUCY XSS FILTER] 웹 취약점으로 이것저것 시도 해보고있습니다.

0개의 답변

Q&A 목록