[AWS WAF] AWS WAF Stored (XSS) 방어 정책 만들기 [T]

Stored XSS 공격이란?

• 악성 스크립트가 웹 애플리케이션의 DB에 저장되며, 이를 읽는 사용자의 브라우저에서 실행되는 공격
• 공격자가 삽입한 악성 스크립트가 서버에 저장되기 때문에 여러 사용자가 피해를 입을 수 있음
• 주로 댓글, 프로필, 게시글 작성 등 해당 저장되는 기능을 악용

 

AWS WAF Stored XSS 방어 정책 설정

1) AWS Console -> WAF -> WebACLs -> 만든 ACL 선택
2) Rules -> Add rules -> Add my own rules and rule gorups
3) Rule bulider -> 이름 작성 -> Regular rule
4) matches the statement -> Body -> Contains XSS injection attacks
4-1) Compress whitespace, URL decode Unicode
4-2) Oversize handling -> Continue - Inspect the contents ~~
5) Block -> Enable -> 200 -> custom_denied -> Add rule -> Save