Roovelo

Sparrow 도입과 XSS최근에 “Sparrow SAST” 라고 하는 소스코드 보안 취약점 점검 솔루션을 도입하고 테스트 및 사용을 해보고 있습니다.이 솔루션으로 프로젝트를 전체적으로 검사를 해봤는데요. 가장 많이 발견되는 취약점이 XSS(크로스 사이트 스크립팅) 더라고요. 그리고 이 XSS 중에서도 가장 많이 검출되는 부분이 el태그 를 사용하는 부분이었습니다.${siteId} //이렇게 ${값} 형식으로 jsp 에서 사용하는 부분은 모두 취약하다고 검출됨왜 el태그 를 사용하는 부분이 취약점으로 검출되는지 알아보니까 이 태그를 이용해서 출력을 할 때 출력값 안에 스크립트가 있다면 해당 스크립트가 실행이 된다고 하네요.예를 들어 “회원가입 아이디 입력” 부분의 input type=“text” 에 값..

2022.07.14 ~ 2022.07.18 까지 하다가 정리했던 내용인데 매주 토요일이나 일요일에 정리해야지 했는데 막상 주말에 더 바빠서 시간이 없고 평일에 하게 되네요. ㅎㅎ 그리고 쓰다보니까 좀 부족한 내용이 보이긴 하던데 자꾸 추가하고 공부하고 보완하고 하다보면 끝없어 질 것 같아서 여기까지만 하고 일단 마무리를 합니다. ㅎㅎ최근에 일을 하다가 소스 코드들을 전체적으로 훑어볼 시간이 있어서 보는데templet_layout.tldtemplet_menu.tld 이렇게 .tld 라는 이름의 확장자를 가진 파일이 있더라고요.  여태까지는 그냥 내용을 보고 아~ 이렇게 쓰는거고 뭔가 설정하는파일이구나. 하고 그냥 쓰고 있었는데 정확히 무슨 파일인지 설명을 하라고 하면 못 하겠더라고요. 그래서 이번 기회에 ..