XSS(크로스사이트 스크립팅)란 무엇일까요?

XSS란?

XSS(Cross-Site Scripting, 크로스사이트 스크립팅)는 게시판·댓글창처럼 사용자 입력을 그대로 화면에 표시하는 웹페이지에 악성 스크립트를 끼워 넣어, 그 페이지를 보는 다른 사용자의 브라우저에서 스크립트가 실행되게 만드는 공격입니다.

서버가 아니라 다른 사용자의 브라우저가 표적이라는 점이 특징입니다. 공격이 성공하면 로그인 쿠키·세션 탈취, 가짜 입력창으로 개인정보 유도, 화면 변조까지 가능합니다. OWASP Top 10에서도 인젝션 계열 취약점 중 가장 빈번하게 발견되는 유형으로 꼽힙니다.OWASP

XSS의 동작 방식

XSS는 입력값을 제대로 걸러내지 않는 웹페이지를 노립니다.

1. 취약 지점 탐색 — 입력값 필터링이 허술한 게시판·검색창을 찾습니다.
2. 악성 스크립트 삽입 — 입력란에 <script> 같은 스크립트 코드를 넣습니다.
3. 브라우저에서 실행 — 다른 방문자가 페이지를 열면 스크립트가 자동 실행됩니다.
4. 정보 탈취·화면 조작 — 쿠키·세션 탈취, 가짜 화면 표시가 일어납니다.

XSS의 3가지 유형

• 저장형(Stored) XSS — 악성 스크립트가 게시글·댓글과 함께 서버(DB)에 저장돼, 그 글을 보는 모든 방문자에게 실행됩니다. 피해 범위가 가장 넓습니다.
• 반사형(Reflected) XSS — 스크립트가 URL이나 검색어에 담겨 전달되며, 피해자가 조작된 링크를 클릭해야 실행됩니다.
• DOM 기반(DOM-based) XSS — 서버를 거치지 않고, 브라우저의 자바스크립트가 입력값을 잘못 처리해 클라이언트 쪽에서 바로 실행됩니다.

실제 피해 사례

2005년 마이스페이스(MySpace)의 '새미 웜(Samy Worm)' 사건이 대표적입니다. 한 사용자가 자신의 프로필에 저장형 XSS 스크립트를 심어두었는데, 방문자가 그 프로필을 보기만 해도 스크립트가 자동으로 실행돼 방문자의 프로필에도 같은 스크립트가 퍼졌습니다. 이렇게 자가 전파된 웜은 마이스페이스가 조치를 취하기 전까지 약 20시간 만에 100만 명이 넘는 친구 요청을 만들어냈습니다.PurpleSec 입력값을 걸러내지 않은 웹페이지 하나가 자가 전파형 공격의 통로가 될 수 있음을 보여준 사례입니다.

OWASP Top 10:2025에서도 XSS는 인젝션 항목(A05) 안에서 3만 건이 넘는 취약점 사례(CVE)가 보고돼, 발견 빈도가 가장 높은 웹 취약점 유형으로 분류됩니다.OWASP

기술형 보안 위협 비교

XSS는 시스템의 빈틈을 노리는 기술형 공격 중 하나입니다. 대표 유형을 비교하면 다음과 같습니다.

XSS 예방·대응 방안

개발·운영자

• 입력값 이스케이프·인코딩 — 사용자 입력을 화면에 표시할 때 HTML 태그로 해석되지 않도록 변환합니다.
• 콘텐츠 보안 정책(CSP) — 허용된 출처의 스크립트만 실행되도록 브라우저 정책을 설정합니다.
• HttpOnly·Secure 쿠키 — 스크립트가 쿠키 값에 직접 접근하지 못하도록 속성을 지정합니다.

이용자

• 의심스러운 링크 주의 — 출처 불명 링크·단축 URL은 클릭 전 도메인을 확인합니다.
• 브라우저·백신 최신화 — 알려진 악성 스크립트 실행 시도를 탐지·차단하는 데 도움이 됩니다.

오피스키퍼는 내부 정보 유출 방지(DLP)와 PC·문서 사용 이력 관리로, XSS로 탈취된 정보가 외부로 빠져나가는 경로까지 함께 통제하는 데 도움을 줍니다.

자주 묻는 질문