편집복원내용 검수 완료2026년 정보보안기사 1회 필기 · 애플리케이션 보안 · 50번

게시판 서버가 사용자의 댓글을 데이터베이스에 저장한 뒤 별도의 출력 인코딩 없이 게시글 HTML에 삽입한다. 공격자가 작성한 스크립트가 저장되고, 이후 그 게시글을 조회하는 다른 이용자의 브라우저에서도 실행된다. 이 취약점 유형은?

공격자는 보안이 취약한 서버의 게시판 등 입력폼에 악성코드를 작성하여 저장하고 사용자는 그 악성코드에 접근하면 사용자의 시스템에서 악성코드가 실행된다. 그리고 그 실행된 결과가 공격자에게 전달되는 웹 취약점 공격 기법이다.

1
SQL 삽입
오답 이유SQL 삽입은 입력이 데이터베이스 질의 구문으로 해석되는 취약점이다. 지문은 조회 결과에 포함된 스크립트가 브라우저에서 실행되는 상황이다.
2
저장형 XSS
정답 근거저장형 XSS는 악성 스크립트가 서버의 게시물·프로필 등에 지속적으로 저장되고 여러 사용자가 조회할 때 응답에 포함되어 실행되는 유형이다.
3
반사형 XSS
오답 이유반사형 XSS는 요청의 입력값이 서버 응답에 즉시 반사되어 실행되며 일반적으로 서버에 공격 문자열이 지속 저장되는 것이 핵심 조건은 아니다.
4
DOM 기반 XSS
오답 이유DOM 기반 XSS는 클라이언트 측 스크립트가 안전하지 않은 소스의 값을 DOM 실행 지점에 넣어 발생한다. 지문은 서버 저장 후 응답에 삽입되는 흐름이다.

정답·상세해설

정답 2번

공격 문자열이 서버 데이터베이스에 지속 저장되고, 다른 사용자가 게시글을 열 때마다 응답 HTML에 포함되어 브라우저에서 실행된다는 두 조건이 저장형 XSS를 특정한다. 방어할 때는 저장 단계의 검증만으로 끝내지 말고 출력 문맥에 맞는 인코딩과 안전한 HTML 정화 정책을 적용해야 한다.

콘텐츠 기록