brup에 인터프리터로 값을 설정할 경우 처리방법에 대해서

techstar 자기소개 회원게시물 회원 질문검색 회원 답변검색 회원 댓글검색

2023.09.04 15:47:48 조회 1277 (221.♡.♡.130)

본문

안녕하세요 ? 며칠전 xss 때문의 글을 올렸는데, 고수님들이 알려주셔서 참고를 했습니다만

burp툴에서 proxy를 통해서 인터프리터기능으로 검색어 뒤에 stx="><script>alert(document.cooke)</script> 값을 설정하고, 검색어를 입력하면 저 스크립트가 실행되어 나타나는데, 이런 경우 어떻게 막으면 될까요 ? 문제는 프록시를 통해서 변경하면 xss 방지가 안된다고 계속 취약점에 대해서 문제 제기를 합니다.

이런 경험이 있으신분은 조언을 해주시면 고맙겠습니다.

감사합니다.

#그누보드5

답변 2

Mins아빠 자기소개 회원게시물 회원 질문검색 회원 답변검색 회원 댓글검색 님의 답변

2023-09-04 16:12:56 220.♡.♡.151



function get_search_string($stx)
{
    $stx_pattern = array();
    $stx_pattern[] = '#\.*/+#';
    $stx_pattern[] = '#\\\*#';
    $stx_pattern[] = '#\.{2,}#';
    $stx_pattern[] = '#[/\'\"%=*\#\(\)\|\+\&\!\$~\{\}\[\]`;:\?\^\,]+#';
    $stx_replace = array();
    $stx_replace[] = '';
    $stx_replace[] = '';
    $stx_replace[] = '.';
    $stx_replace[] = '';
    $stx = preg_replace($stx_pattern, $stx_replace, $stx);
    return $stx;
}
$stx = get_search_string(trim($_REQUEST['stx']));




이런식으로 처리하시면 됩니다.