출처

인프런, 비박스를 활용한 웹 모의해킹 완벽 실습 14강 https://www.inflearn.com/course/%EB%B9%84%EB%B0%95%EC%8A%A4-%EB%AA%A8%EC%9D%98%ED%95%B4%ED%82%B9-%EC%8B%A4%EC%8A%B5/

크로스 사이트 스크립팅

악의적인 스크립트 코드가 데이터베이스에 저장됨
저장된 코드 내용을 확인한 사용자의 PC에 스크립트 코드가 실행되는 공격

HTML 인젝션과 크게 다르지 않음

XSS - Stored(Blog)(Low)

다음 코드를 삽입

<script>alert(1);document.write(document.cookie);</script>

XSS - Stored(Blog)(High)

서버의 다음 코드의 필터링으로 바뀐 것

<?php

}

while($row = $recordset->fetch_object())
{
    if($_COOKIE["security_level"] == "2")
    {

?>
        <tr height="40">

            <td align="center"><?php echo $row->id; ?></td>
            <td><?php echo $row->owner; ?></td>
            <td><?php echo $row->date; ?></td>
            <td><?php echo xss_check_3($row->entry); ?></td>

        </tr>

<?php

    }

    else
        if($_COOKIE["security_level"] == "1")
        {

?>
        <tr height="40">

            <td align="center"><?php echo $row->id; ?></td>
            <td><?php echo $row->owner; ?></td>
            <td><?php echo $row->date; ?></td>
            <td><?php echo xss_check_4($row->entry); ?></td>

        </tr>

<?php

        }
        else

            {

?>