유형 0 (DOM 기반) JSP 응용 프로그램에 대한 XSS 예방

Question

동적 웹 페이지에 의존하는 표준 XSS 공격과 달리 DOM 기반 XSS 공격은 서버에 악의적 인 코드를 전송하지 않아도되므로 정적 HTML 페이지. 내 겸손한 질문은 개발자가 이러한 공격을 막을 수있는 방식으로 페이지를 안전하게 코딩 할 수 있는지 여부입니다. 사용할 기술은 무엇입니까? 내 믿음은 페이지가 정적 또는 동적인지 여부에 관계없이 요청이 클라이언트에서 서버로 전달되어야하므로 서버 측 검사가 여전히 그러한 공격을 감지 할 수 있는지 생각하고 궁금하게 생각합니까?

Answer 1

악성 코드가 페이지에 표시 되려면 이스케이프 처리되지 않은 공격자 제공 텍스트를 페이지에 삽입해야합니다. PHP 또는 서버 측에서 자바 스크립트를 사용하여 서버 측에서 처리하는 경우 중요하지 않습니다. 출력하기 전에 수신 한 모든 입력을 이스케이프 처리해야합니다.

서버 측 코드로 수행하는 것과 동일한 규율을 자바 스크립트로 사용하십시오.