첨부파일을 통한 XSS 공격 방식은
XSS 공격용 파일을 만들어(확장자만 jpg 같은 이미지로 변경한 파일, html, 기타 등) 첨부파일로 업로드 한 후 해당 파일을 클릭하면 실행이 되거나 해커 서버에 연결해서 원하는 정보(예>쿠키)를 얻어 가는 공격이다.
첨부파일이 업로드되는 경로에 다음의 내용으로 .htaccess 파일을 생성한다.
.htaccess
<IfModule mod_headers.c>
Header set Content-Disposition attachment
</IfModule>
생성을 한 후 첨부파일을 클릭하거나
브라우저 입력란에 해당 파일의 url 경로를 직접 입력해서 실행해보면
무조건 다운로드 창이 실행되기 때문에 파일이 실행되는 것을 막을 수 있으며 공격도 막을 수 있게 된다.
참고> 첨부파일 업로드 경로를 웹 서버 경로(DOCUMENT_ROOT)가 아닌 웹으로 접근할 수 없는 경로로 한 후 파일명은 DB 등에 저장을 하고 파일명 자체도 알 수 없는 임의의 파일명으로 바꾸어서 업로드하는 방법이 있다.
다운로드를 하는 경우에는 별도의 다운로드 실행 파일을 만들어서 사용을 한다.
