MS 테크넷 사이트에도 XSS 취약점 발견!

보안은 무료로/웹 보안 2009/12/02 09:24

최근 시만텍, 잉카인터넷 등과 같이 대형 또는 보안 회사들의 웹사이트에 취약점이 발견되어 한바탕 소동이 난 적이 있습니다.

이번에는 기술 자료의 보고인 MS 테크넷(TechNet) 사이트 내에 있는 스크립트 센터 갤러리에서 XSS 취약점이 발견되었습니다.

http://gallery.technet.microsoft.com/ScriptCenter/en-us/site/search?f%5B0%5D.Type='Tag&f%5B0%5D.Value=XSS

테크넷의 XSS 취약점을 밝혀낸 사람은 TeamElite라고 하는 해킹 그룹이며, 이 그룹은 WHO, 플레이보이 루마니아, TwitterCounter.com, 뉴욕타임즈, AVG 불가리아, Telegraph.co.uk 등과 같은 사이트의 취약점을 공개한 적이 있습니다.

<그림 1. XSS 취약점을 이용하여 특정 문자열을 팝업 창으로 표시하는 전형적인 시연 화면>

<그림 2. 구글 페이지를 임베디드한 화면>

참고로, XSS 취약점은 SQL Injection 공격과 함께 인터넷 상에서 가장 많이 공격하는 취약점으로 OWASP에서 수위를 차지합니다.

출처: http://security-sh3ll.blogspot.com/2009/11/microsoft-technet-vulnerable-to-cross.html