일반적인 JavaScript 보안 취약점 (XSS, CSRF)은 무엇이며 어떻게 방지 할 수 있습니까?-JS 튜토리얼-php.cn

일반적인 JavaScript 보안 취약점 (XSS, CSRF)은 무엇이며 어떻게 방지 할 수 있습니까?

웹 애플리케이션에 인기있는 스크립팅 언어 인 JavaScript는 종종 취약점을 악용하기 위해 공격자의 대상이됩니다. 가장 일반적인 JavaScript 보안 취약점 중 두 가지는 크로스 사이트 스크립팅 (XSS) 및 CSRF (Cross-Site Request Prostery)입니다.

크로스 사이트 스크립팅 (XSS) : XSS 취약점은 애플리케이션에 적절한 유효성 검사 나 이스케이프없이 웹 페이지에 신뢰할 수없는 데이터가 포함될 때 발생합니다. 이를 통해 공격자는 다른 사용자가 볼 수있는 웹 페이지에 악의적 인 스크립트를 주입 할 수 있습니다. XSS는 다음 측정을 통해 방지 할 수 있습니다.

입력 유효성 검사 : 처리 전에 모든 사용자 입력이 엄격한 규칙 세트에 대해 검증되도록합니다.
출력 인코딩 : 브라우저가 코드로 해석하는 것을 방지하기 위해 HTML, JavaScript, CSS 또는 기타 컨텍스트로 출력 할 때 항상 데이터를 인코딩합니다.
CSP (Content Security Policy) : 웹 페이지 내에서 실행할 수있는 컨텐츠 소스를 지정하기 위해 CSP 헤더 구현.
Httponly 및 Secure 플래그 사용 : 클라이언트 측 스크립트 액세스를 방지하기 위해 쿠키에 httponly 플래그를 설정하고 쿠키가 HTTP를 통해서만 전송되도록 보안 플래그를 사용하십시오.

CSRF (Cross-Site Request Grosery) : CSRF 공격은 피해자의 브라우저를 속임수를 속여서 피해자가 인증하는 웹 애플리케이션으로 악의적 인 요청을 전송합니다. CSRF를 방지하려면 :

CSRF 토큰 사용 : 서버 측에서 검증 된 양식 또는 AJAX 요청에서 항 -CSRF 토큰을 구현하십시오.
Samesite Cookie 속성 : 쿠키에 Samesite 속성을 설정하여 크로스 사이트 요청으로 전송되는 것을 방지합니다.
쿠키 제출 이중 더블 제출 : 이중 제출 쿠키 기술을 사용하여 요청의 진위를 확인하십시오.
HTTP 헤더 : Origin 및 Referer 와 같은 헤더를 사용하여 요청 소스를 검증합니다.

이러한 예방 조치를 구현함으로써 개발자는 웹 응용 프로그램에 대한 XSS 및 CSRF 공격의 위험을 크게 줄일 수 있습니다.

XSS 공격으로부터 내 웹 사이트를 보호하기 위해 어떤 구체적인 조치를 구현할 수 있습니까?

XSS 공격으로부터 웹 사이트를 효과적으로 보호하려면 다음과 같은 특정 조치를 구현할 수 있습니다.

입력을 소독하고 검증하십시오. 입력 : 클라이언트와 서버 측의 사용자 입력을 항상 검증하십시오. dompurify 또는 htmlspecialchars와 같은 라이브러리를 사용하여 입력을 소독하여 잠재적으로 유해한 콘텐츠를 제거하십시오.
CSP (Content Security Policy) 사용 : 웹 페이지에로드 할 수있는 컨텐츠 소스를 제한하는 CSP를 구현하십시오. 이는 무단 스크립트가 실행되는 것을 방지하는 데 도움이됩니다. 예를 들어:
```
 <code class="http">Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline';</code>
```
로그인 후 복사
탈출 출력 : HTML에 삽입되기 전에 모든 동적 컨텐츠가 올바르게 탈출되도록하십시오. 예를 들어, JavaScript의 encodeURIComponent 와 같은 함수를 사용하여 출력 전에 데이터를 인코딩합니다.
쿠키에 httponly 및 안전한 플래그를 설정하십시오. httponly 플래그로 쿠키를 구성하여 JavaScript가 액세스하는 것을 방지하고 보안 플래그를 사용하여 HTTPS를 통해서만 전송되도록하십시오.
최신 JavaScript 프레임 워크 사용 : React 및 Angular와 같은 많은 현대 프레임 워크에는 XSS에 대한 내장 보호 기능이 있습니다. 예를 들어, RECT는 JSX에 포함 된 값을 자동으로 탈출합니다.
브라우저 보안 헤더 구현 : X-XSS-Protection 와 같은 헤더를 사용하여 브라우저의 내장 XSS 필터를 활성화하십시오.
정기적 인 보안 감사 : 정기적 인 보안 감사를 수행하고 OWASP ZAP와 같은 도구를 사용하여 취약점을 스캔합니다.

이러한 조치를 구현하면 XSS 공격에 대한 웹 사이트의 보안을 크게 향상시킬 수 있습니다.

웹 응용 프로그램에서 CSRF 공격을 효과적으로 방지하려면 어떻게해야합니까?

웹 응용 프로그램의 CSRF 공격을 효과적으로 방지하려면 다음 전략을 고려하십시오.

CSRF 토큰 사용 : 각 사용자 세션에 대해 고유 한 비밀 토큰을 생성하고 모든 양식 또는 AJAX 요청에 포함시킵니다. 서버는 상태 변경 요청을 처리하기 전에이 토큰을 확인해야합니다. Django의 CSRF 보호 또는 OWASP CSRFGuard와 같은 라이브러리가이를 구현하는 데 도움이 될 수 있습니다.
Samesite 쿠키 속성 구현 : 세션 쿠키의 Samesite 속성을 Strict 또는 Lax 로 설정하여 교차 오리핀 요청으로 전송되는 것을 방지합니다. 예를 들어:
```
 <code class="http">Set-Cookie: session_id=abc123; SameSite=Strict; Secure; HttpOnly</code>
```
로그인 후 복사
이중 제출 쿠키 : 이 기술에는 CSRF 토큰을 쿠키로 그리고 요청 본문 내에서 보내는 것이 포함됩니다. 서버는 요청을 처리하기 전에 두 토큰이 일치하는지 확인합니다.
HTTP 헤더 확인 : Origin 및 Referer 헤더를 검증하여 요청이 도메인에서 발생하는지 확인하십시오. 그러나 이러한 헤더는 경우에 따라 신뢰할 수 없거나 누락 될 수 있습니다.
사용자 정의 HTTP 헤더 사용 : AJAX 요청의 경우 서버 측에서 확인할 수있는 사용자 정의 헤더를 포함하십시오. 이것은 Origin 나 Referer 에 의존하는 것보다 더 신뢰할 수 있습니다.
CAPTCHA 구현 : 민감한 작업의 경우 CAPTCHA를 추가하면 요청이 자동 스크립트가 아닌 사람에게서 오는지 확인하는 데 도움이 될 수 있습니다.

이러한 방법을 웹 응용 프로그램에 통합하면 CSRF 공격의 위험을 효과적으로 완화 할 수 있습니다.

JavaScript 보안 취약점을 감지하고 완화하는 데 도움이되는 도구 나 프레임 워크가 있습니까?

예, 개발자가 JavaScript 보안 취약점을 감지하고 완화 할 수 있도록 설계된 몇 가지 도구와 프레임 워크가 있습니다. 주목할만한 몇 가지 옵션은 다음과 같습니다.

OWASP ZAP (ZED Attack Proxy) : XSS, CSRF 및 기타 취약점을 식별하는 데 도움이되는 오픈 소스 웹 애플리케이션 보안 스캐너. 웹 응용 프로그램의 수동 또는 자동 스캔을 수행하는 데 사용할 수 있습니다.
BURP SUITE : 웹 애플리케이션 보안 테스트를위한 포괄적 인 플랫폼. 여기에는 XSS 및 CSRF와 같은 취약점을 감지하기 위해 HTTP 트래픽을 스캔, 가로 채기 및 분석하는 도구가 포함되어 있습니다.
보안 플러그인이있는 eslint : eslint는 JavaScript의 정적 코드 분석 도구입니다. eslint-plugin-security 와 같은 보안 플러그인을 통합하면 개발 중에 잠재적 인 보안 문제를 포착 할 수 있습니다.
Snyk : 취약점을 위해 코드를 스캔 할뿐만 아니라 수정 방법에 대한 지침을 제공하는 도구. JavaScript를 지원하며 CI/CD 파이프 라인에 통합 될 수 있습니다.
Sonarqube : 코드 품질의 지속적인 검사를위한 플랫폼. 여기에는 JavaScript 코드에서 보안 취약점을 감지하는 규칙이 포함되어 실행 가능한 통찰력 및 치료 지침을 제공합니다.
node.js 보안 작업 그룹 (Nodejs-Security-WG) : 이 그룹은 Node.js 응용 프로그램을위한 일련의 보안 모범 사례 및 도구를 유지합니다. nsp (Node Security Platform) 도구는 알려진 취약점에 대한 프로젝트의 종속성을 스캔 할 수 있습니다.
DOMPURIFY : HTML을 소독하고 DOM의 안전하지 않은 부분을 제거하여 XSS 공격을 방지하는 라이브러리. 사용자 생성 콘텐츠를 안전하게 렌더링하기 위해 JavaScript 응용 프로그램에 통합 될 수 있습니다.
CSP Evaluator : 컨텐츠 보안 정책을 분석하고 개선하는 데 도움이되는 Google이 제공하는 도구. XSS로부터 보호하기 위해 CSP를 구성하는 데 도움이 될 수 있습니다.