[DVWA] DOM-Based XSS (Low)

XSS (Cross Site Scripting)

악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법을 말한다. 공격에 성공하면

사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며, 보통 의도치 않은 행동을 수행시키거나

쿠키나 세션 토큰 등의 민감한 정보를 탈취한다.

 

 

DOM-based XSS

악성 스크립트가 URL Fragment에 삽입되는 XSS

Fragment는 서버 요청 / 응답에 포함되지 않는다.

 

 

페이지 화면

[DVWA - XSS(DOM)]

- 언어를 선택할 수 있는 옵션이 존재한다!

- Select를 클릭 시 URL에 default 파라미터 값이 추가된다!

 

 

default의 파라미터 값으로 option 내용 전달

[default 파라미터 값에 English 추가]

- English를 선택하고 Select 버튼을 클릭하자 URL에 default 파라미터 값으로 English가 추가되었다!

- 해당 파라미터 부분에 JavaScript 구문을 삽입하여 XSS 공격을 시도해보도록 한다!

 

 

alert 함수를 이용한 경고창 출력

[alert 함수를 이용한 경고창 출력]

- default의 파라미터 값으로 JavaScript 구문을 삽입하여 페이지 탐색 시 JavaScript 구문이 실행된다.

- alert 함수가 정상적으로 실행됨을 통해서 XSS 공격이 이루어졌음을 확인할 수 있다 !