secure-coding2 [Golang] Go에서 SSRF를 막으려면 어디서 검사해야 할까? 서비스를 운영하다 보면 사용자가 입력한 URL을 서버가 대신 요청해야 하는 기능이 생깁니다. 웹훅 주소를 등록받아 이벤트를 보내거나, 채팅에 붙여 넣은 링크의 미리보기를 만들거나, 외부 이미지 URL을 받아 저장하는 기능이 그렇습니다.이때 서버는 자기가 있는 네트워크 위치에서, 자기 권한으로 요청을 보냅니다. 사용자가 https://example.com 대신 http://169.254.169.254/latest/meta-data/iam/security-credentials/를 넣으면, 외부에서는 닿을 수 없는 클라우드 메타데이터 서비스에 서버가 대신 접속해 IAM 자격 증명을 받아 옵니다. 이런 공격을 SSRF(Server-Side Request Forgery)라고 합니다. 2019년 Capital On.. 2026. 10. 11. [Vulnerability] CWE-79 크로스사이트 스크립팅(XSS): 웹 페이지 입력값 검증 실패로 인한 스크립트 삽입 공격 CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)은 신뢰할 수 없는 사용자 입력을 적절히 검증하거나 인코딩하지 않고 웹 페이지에 그대로 출력하여, 브라우저가 악성 스크립트를 실행하도록 만드는 취약점입니다. XSS는 세션 탈취, 계정 가로채기, CSRF 결합 공격, 임의 코드 실행 등 심각한 보안 위협으로 이어질 수 있으며, OWASP Top 10에서 지속적으로 상위권을 차지하고 있습니다.목차XSS가 발생하는 근본 원인XSS 3대 유형과 공격 흐름실제 영향과 공격 시나리오실전 방어 전략 (우선순위 포함)프레임워크/언어별 안전 패턴취약/안전 코드 스니펫 모음테스트용 페이로드 샘플보안 체크리스트Go.. 2025. 11. 10. 이전 1 다음
