Reflected XSS와 Stored XSS의 차이

XSS 유형별 차이:

Reflected XSS:

• 악성 스크립트가 URL 파라미터에 포함
• 서버가 입력을 그대로 반영(reflect)하여 응답
• 피해자가 악성 링크를 클릭해야 동작
• 예: search.php?q=
• 일회성, 피싱과 결합하여 사용

Stored XSS:

• 악성 스크립트가 DB에 저장됨
• 해당 페이지를 방문하는 모든 사용자에게 실행
• 예: 게시판 글, 댓글, 프로필에 스크립트 삽입
• 영향 범위가 크고 더 위험

DOM-based XSS: 서버 응답 없이 클라이언트 JavaScript에서 DOM을 조작하여 발생

방어: 출력 시 이스케이프가 핵심. HTML 엔티티(< > &)로 변환하세요.