Psalm

만약 태그에 enctype 속성으로 application/x-www-form-urlencoded값으로 설정해 파일을 전송시키면 파일 데이터가 손상될 수 있다.  application/x-www-form-urlencoded는 URL 인코딩 방식으로 변환한다. 공백은 ‘+’문자로 특수 문자는 16진수 형식으로 변환된다. 파일 데이터는 단순 텍스트가 아닌 다양한 바이너리 데이터가 포함되어 있기 때문에 URL 인코딩 방식을 사용하면 데이터가 손실될 수 있다. 파일 업로드 할 때 파일에 대한 메타 데이터도 함께 전송되는데,인코딩 되기 때문에 이런 메타데이터를 전송할 수 없다.  form 태그 속성으로 enctype에  application/x-www-form-urlencoded 값을 넣어주고, 진행을 해봤더니 ..

Stored XSS CSRF 먼저 XSS를 보면 해커가 사이트의 게시물에 악성 스크립트를 저장하고, 사용자가 게시글을 클릭하는 순간 사용자의 세션/쿠키 등이 해커에게 전송된다. CSRF의 경우 해커가 사이트 방문자에게 링크를 클릭하게 유도한 뒤에 클릭하는 순간 서버에서 실행이 된다.(서버는 사용자를 신뢰하고, 정상적인 요청이라고 판단) 여기까지 봤을 때 XSS와 별 다를게 없어보인다. 하지만 공격의 목적에 따라 비교할 수 있다. XSS는 보통 사용자의 쿠키나 세션 탈취용으로 공격하고, 탈취한 사용자의 세션으로 그 외 동작을 수행하는 반면 CSRF는 해커가 서버의 취약점을 이용해 Cross Site에 요청을 보내게 해 사용자가 원하지 않는 동작을 수행하게 하는 것이다. Reflected XSS vs CSR..