XSS공격으로 쿠키값 탈취

XSS란?

 -> 게시판에 스크립트 코드를 삽입해 개발자가 고려하지 않은 기능이 작동되게 하는 공격

 

쿠키란?

 -> 방문자의 정보를 방문자 컴퓨터의 메모리에 저장하는 것 말함

       ex) ID, 비밀번호, 방문 사이트 등 저장

 

공격 전 준비해야 할 환경

 1. XSS가 실행되기 위해 보안이 되어있지 않은 게시판

 2. 쿠키에는 ID, PW가 저장되도록 함

     (원래 쿠키 값은 랜덤 값으로 구성되어 있지만 난 해킹이 확실히 와닿게 평문으로 ID, PW를 저장해줄것임)

 

공격 시나리오

1.  게시판에 간단한 XSS 스크립트를 업로드해 공격 실행 여부 확인
2.   XSS 공격으로 쿠키값 탈취
3.   얻어낸 쿠키 값으로 로그인

 

<실습>

 

간단한 XSS 스크립트를 입력해서 공격 실행 여부를 확인

<script>alert("HI");</script>

실행이 된다면 경고창으로 HI 가 떠야함

 

HI가 뜨는 것을 확인했음

XSS 공격이 실행되는 것을 확인했으니 

이제 본격적인 공격 구문을 넣어보자

 

 

 

게시판에 <script>alert(document.cookie)</script>를 넣어줌

실행 결과로 쿠키 값이 출력될 것임

 

 

글을 읽으면 이렇게 쿠키값이 탈취된다.

 

 

(실습은 제가 만든 웹 페이지에서 했습니다 ^^)

 

다른 사람의 쿠키값을 탈취하고 싶다면?

↓

https://duni0107-day.tistory.com/69

XSS공격 피해자 쿠키값 탈취

 

XSS공격에 대해 더 자세히 알고싶다면?

↓

https://duni0107-day.tistory.com/57?category=692193

XSS 공격