Microsoft Edge의 버그로 인해 사이트 간 스크립팅 X-XSS- 보호가 비활성화 됨

마이크로 소프트

X-XSS 보호 기능은 Microsoft Edge 브라우저는 2008 년 도입 된 이후 시스템에 대한 교차 사이트 스크립팅 공격을 방지하기 위해 마련되었습니다. Mozilla Firefox 개발자 및 여러 분석가와 같은 기술 업계의 일부는 Mozilla가이 기능을 통합하는 것을 거부하면서이 기능을 비판했습니다. 브라우저는 더 통합 된 크로스 브라우징 경험에 대한 희망을 버리고, 구글 크롬과 마이크로 소프트의 자체 인터넷 익스플로러는이 기능을 계속 실행하고 있으며 마이크로 소프트로부터 아직 달리 언급 한 내용은 없다. 2015 년부터 Microsoft Edge X-XSS 보호 필터는 X-XSS 스크립트 사용 여부에 관계없이 웹 페이지에서 이러한 코드 교차 시도를 필터링하는 방식으로 구성되었지만 기본적으로 한 번 켜진 것은 Gareth Heyes에 의해 PortSwigger 이제 Microsoft Edge 브라우저에서 비활성화되도록 Microsoft가이 변경에 대한 책임을 주장하지 않았기 때문에 버그로 인한 것으로 간주합니다.

off 및 on 스크립트의 바이너리 언어에서 브라우저가 'X-XSS-Protection : 0'을 렌더링하는 헤더를 호스팅하는 경우 교차 사이트 스크립팅 방어 메커니즘이 비활성화됩니다. 값을 1로 설정하면 활성화됩니다. “X-XSS-Protection : 1; mode = block”은 웹 페이지가 앞으로 나오지 않도록 완전히 차단합니다. Heyes는 값이 기본적으로 1로 설정되어 있지만 이제는 Microsoft Edge 브라우저에서 0으로 설정되어있는 것처럼 보입니다. 그러나 Microsoft의 Internet Explorer 브라우저에서는 그렇지 않은 것 같습니다. 이 설정을 되돌리려 고 시도하면 사용자가 스크립트를 1로 설정하면 다시 0으로 돌아가고 기능은 꺼진 상태로 유지됩니다. Microsoft는이 기능에 대해 발표하지 않았고 Internet Explorer에서 계속 지원하므로 Microsoft가 다음 업데이트에서 해결할 것으로 예상되는 브라우저 버그의 결과라고 결론을 내릴 수 있습니다.

크로스 사이트 스크립팅 공격은 신뢰할 수있는 웹 페이지가 악의적 인 사이드 스크립트를 사용자에게 전달할 때 발생합니다. 웹 페이지는 신뢰할 수 있으므로 사이트의 콘텐츠는 이러한 악성 파일이 전달되지 않도록 필터링되지 않습니다. 이를 방지하는 원칙적인 방법은 모든 웹 페이지의 브라우저에서 HTTP TRACE를 비활성화하는 것입니다. 해커가 웹 페이지에 악성 파일을 저장 한 경우 사용자가 해당 파일에 액세스하면 HTTP Trace 명령이 실행되어 사용자의 쿠키를 훔쳐서 해커가 사용자 정보에 액세스하고 잠재적으로 자신의 기기를 해킹 할 수 있습니다. 브라우저 내에서이를 방지하기 위해 X-XSS-Protection 기능이 도입되었지만 분석가들은 이러한 공격이 원하는 정보를 얻기 위해 필터 자체를 악용 할 수 있다고 주장합니다. 그럼에도 불구하고 많은 웹 브라우저는이 스크립트를 가장 기본적인 종류의 XSS 피싱을 방지하기위한 첫 번째 방어선으로 유지하고 필터 자체가 제기하는 모든 취약점을 패치하기 위해 더 높은 보안 정의를 통합했습니다.