[Naver] Lucy XSS Filter

 

모듈 프로젝트때 사용했던 Lucy Filter에 대해서 더 알아보겠다. 서비스 운영 시 XSS 방어가 필요하기 때문에 lucy filter를 사용했었음.

 

---

Lucy - XSS (XssFilter, Xss Preventer)

: XSS (Cross Site Scripting) 공격을 방어하는 Java 라이브러리

💡 Why JAVA?
플랫폼 호환성 : 자바는 플랫폼에 독립적이며 다양한 운영 체제 및 환경에서 실행이 가능하다. 따라서 루시를 자바로 개발하면 이식성이 좋아지며, 다양한 환경에서 쉽게 적용할 수 있기 때문임.

 

💡 Why Lucy?

• XML설정만으로 XSS방어가 가능
• 비지니스 레이어의 코드 수정이 필요하지 않음
• 직접 설정할 필요가 없으므로 코드를 잘못 입력하거나, 놓치고 적용하지 않는 경우가 없음
• 특별한 설정 없이 XssPreventer.escape(String) 메서드를 호출하여 사용하면 됨

 

 

XssFilter

 XSS 공격이 가능한 HTML 요소를 신뢰할 수 있는 코드로 변환하거나 삭제하는 기능을 제공. 공격이 가능하지 않은 HTML 요소는 허용을 한다. HTML 요소를 허용하되 XSS 공격에 위험한 요소를 걸러내야할 때 사용한다. HTML이 허용되는 게시판의 본문 등에 적용할 수 있다.

• 웹 애플리케이션을 보호하기 위해 화이트리스트 설정 방법을 지원하는 Java 기반 라이브러리
• 화이트리스트 방식의 필터를 사용하면 기존 블랙리스트 방식의 필터보다 XSS 공격으로부터 웹사이트에 대한 보안 조치가 더욱 강화됨
• DOM과 SAX 파서를 모두 지원

 

내부구조

Lucy-XSS Filter 객체를 생성하면 Configuration Builder는 White List Configuration에 정의된 내용을 바탕으로 White List Object Model을 생성하여 Lucy-XSS Filter Core로 전달한다. Lucy-XSS Filter Core는 Markup Parser(DOM, SAX 둘 다 지원 )가 필터링 대상 HTML 문자열을 파싱하여 생성한 HTML Object Model을 White List Object Model과 비교하여 필터링한다.

 

• Lucy-XSS Filter Core : Markup Parser를 통해 파싱한 HTML 문자열을 White List Object Model과 비교하여 필터링한 결과(Clean HTML)를 반환
• Markup Parser : 문자열을 파싱하여 HTML Object Model로 변환. DOM(MarkupParser.java)과 SAX(MarkupSaxParser.java) 두 가지 방식이 존재
• Configuration Builder : White List Configuration에 정의된 내용을 바탕으로 White List Object Model을 생성
• White List Configuration : 정상적인 HTML 구조를 화이트리스트 방식으로 정의한 설정 파일로서, XML 형식으로 구성

 

XssPreventer

 문자열에서 HTML로 인식될만한 요소를 모두 제거한다. apache-common-lang의 StringEscapeUtils를 내부적으로 사용하고 있다.

< → &lt;
> → &gt;
" → &quot;
' → &#39;

아래와 같이 escape 메서드를 호출해서 HTML의 모든 태그를 무력화시킨 문자열로 변환한다.

String clean = XssPreventer.escape(dirty);

치환된 문자열에서 다시 원본 메시지를 복구하려면 아래와 같이 unescape 메서드를 호출한다.

String origin = XssPreventer.unescape(clean);

 

💥 XssFilter , XssPreventer

• HTML 이외의 단순 텍스트 매개변수는 XssPreventer를 사용하여 필터링해야함
• 입력을 위해 HTML 태그를 받아야 하는 경우 Xss 필터를 사용 (ex: 우편, 방명록, 게시판 서비스)

 

특징

1. 화이트 리스트  

• 허용된 목록에 있는 항목들만 허용하여 등록되지 않는 요소들을 모두 거부하는 방식, 블랙 리스트보다 안전하다.

<config xmlns="http://www.nhncorp.com/lucy-xss" extends="...">
    <elementRule>
    </elementRule>
    <attributeRule>
    </attributeRule>
    <elementGroup name="...">
    </elementGroup>
    <attributeGroup name="...">
    </attributeGroup>
</config>

2. 규칙을 선언한 XML 파일 사이의 상속, 오버라이딩 가능

• 주로 설정 파일의 구조를 단순화하고 재사용성을 높이기 위해 사용
• 보안 정책을 정하는 부서에서 상위 설정 파일을 제공하고 서비스별로 필요한 정책을 하위 선언 파일에 기술하는 방식으로 사용이 가능함

 

ex. 보안 규칙을 정의한 두개의 XML 파일이 있다고 가정했을 때 ,

<security>
    <rule name="allowAdmin" type="user" action="allow" />
    <rule name="denyGuest" type="user" action="deny" />
</security>

 

다른 설정 파일에서 이 설정 파일을 상속하고 일부 규칙을 오버라이딩하여 새로운 설정을 정의할 수 있다.

<security>
    <include file="lucy-xss-superset-sax.xml" />
    <rule name="allowManager" type="user" action="allow" />
    <rule name="denyGuest" type="user" action="allow" />
</security>

위 예시 코드에서는 " lucy-xss-superset-sax.xml" 파일에서 정의된 규칙을 상속하고 있다. 그러나 "denyGuest" 규칙을 오버라이딩하여 이제 게스트 사용자에 대해 허용된 규칙으로 변경되었음을 알 수 있다.

 

3. 메모리를 효율적으로 쓰는 SAX 방식의 HTML 파싱 모듈 제공

• HTML 파싱
  • HTML 문서를 읽고 해석하여 문서의 구조와 내용을 이해하는 과정
  • DOM 파싱, SAX 파싱으로 나뉨
• SAX (Simple API for XML)
  • 이벤트 기반의 접근 방식, HTML 문서를 순차적으로 읽으면서 발생하는 이벤트 처리
  • XML 문서를 한 줄씩 읽으면서 문서 내의 요소, 속성, 텍스트 등을 발견할 때마다 이벤트를 발생시킴
  • 한번의 하나의 요소를 처리하므로 메모리 사용량이 적고 단순히 읽기만 할 때 속도가 빠름.

---

모듈 프로젝트 적용사항

 

---

https://naver.github.io/lucy-xss-filter/kr/

Lucy XSS Filter

https://hello-backend.tistory.com/168

lucy필터로 xss 방어하기(feat JSON, time, 이모지)

https://github.com/naver/lucy-xss-filter?tab=readme-ov-file

GitHub - naver/lucy-xss-filter