XSS 웜
XSS wormXSS 웜(때로는 사이트 간 스크립팅 바이러스)[1]은 악의적인(또는 때로는 악의적이지 않은) 페이로드로, 일반적으로 JavaScript에서 작성된 것으로, 다른 방문자들을 점진적으로 감염시키기 위해 웹사이트 방문자들 사이에 전파되는 브라우저 보안을 침해한다.[2]그것들은 Hotmail의 사이트 간 스크립팅 취약성과 관련하여 2002년에 처음 언급되었다.[3]
개념
XSS 웜은 웹 사이트 내에서 사이트 간 스크립팅(또는 짧게 XSS)이라고 알려진 보안 취약성을 이용하여 취약성에 따라 다양한 방법으로 사용자를 감염시킨다.프로필과 채팅 시스템과 같은 사이트 기능은 부적절하게 구현되거나 보안과 무관하게 구현될 때 XSS 웜의 영향을 받을 수 있다.종종 이러한 웜은 특정 취약성을 이용하여 빠르게 퍼지는 단일 웹 사이트로 한정된다.
사이트 간 스크립팅 취약성은 일반적으로 MySpace, Yahoo!, Orkut, Justin.tv, Facebook, Twitter와 같은 인기 있는 소셜 또는 상업 웹사이트에서 웜의 형태로 악용된다.이러한 웜은 악의적인 의도로 사용될 수 있으며, 공격자가 비밀번호나 신용카드 번호와 같은 웹 사이트에 제공된 개인 정보를 훔칠 수 있는 근거를 제공한다.
예
몇몇 XSS 웜이 인기 있는 웹사이트에 영향을 미쳤다.
사미벌레
가장 큰 XSS 웜으로 알려진 Samy 웜은 20시간 이내에 100만개가 넘는 마이스페이스 프로필을 감염시켰다.그 바이러스의 저자는 고소를 당했고 중범죄 혐의에 대한 유죄협정을 받았다.[4]
Justin.tv 웜
Justin.tv은 약 2만 명의 사용자를 가진 비디오 캐스팅 웹사이트였다.사이트 간 스크립팅 취약성은 "위치" 프로파일 필드가 프로파일 페이지에 포함되기 전에 제대로 검사되지 않은 경우였습니다.
"위치" 프로파일 필드는 프로파일 페이지 제목에 포함되지만 페이지 본문의 실제 필드에는 포함되지 않은 경우 삭제되었다.즉, 웜의 수명과 확산을 촉진하기 위한 스텔스(selse)를 달성하기 위해서는 이미 댓글에 가려져 있던 웜 코드 안에서 페이지 제목에서 XSS 페이로드(payload)를 자동으로 제거해야 한다는 의미였다.
지렁이의 적절한 발달 후 2008년 6월 28일 토요일 약 21:52:33 UTC로 실행되었고, 2008년 6월 29일 일요일 21:12:21 UTC로 종료되었다.(다른 인기 있는 XSS 웜 대상과 비교했을 때) 소셜 웹사이트가 특별히 활성화되지 않았기 때문에, 이 웜은 약 24시간 내에 총 2525개의 프로필을 감염시켰다.
이 벌레는 성공적으로 제거되기 몇 시간 전에 발견되었고 (연구 목적으로 이 벌레의 원래 의도 때문에) 기록된 데이터를 바탕으로 이 벌레는 Justin.tv의 개발자들에 의해 강제로 소독된 후 감염되지 않은 프로파일을 감염시킬 수 있었다.이 벌레는 취약점을 패치한 후 다시 한번 소독을 해 쉽게 제거할 수 있었다.그러나 이는 역습 후에도 벌레가 적응하고 퍼지는 능력을 보여준다.
공격자가 발표한 그래프와 데이터에 의해 나타나는 다른 특별한 요인은 사회 활동과 기간 동안 감염되지 않은 새로운 사용자의 부족을 포함한다.
오르쿠트 "봄 사바도" 벌레
소셜네트워크서비스(SNS)인 오르쿠트도 XSS 웜에 맞았다.감염된 사용자들은 "봄 사바도"(포르투갈어, "해피 토요")라는 단어가 들어 있는 스크랩을 받는다.구글은 아직 이 상황에 대해 언급하지 않았다.[citation needed]
참조
- ^ Alcorn, Wade (2005-09-25). "The Cross-site Scripting Virus". BindShell.net. Archived from the original on August 23, 2014.
- ^ Faghani, Mohammad Reza; Saidi, Hossein (2009). "Social Networks' XSS Worms". 2009 International Conference on Computational Science and Engineering. doi:10.1109/CSE.2009.424.
- ^ Berend-Jan Wever. "XSS bug in hotmail login page".
- ^ Mann, Justin (2007-01-31). "Myspace Speaks about Samy Kamkar's Sentencing". Techspot.com.
