XMLHttpRequest POST 방식 노출

Question

안녕하세요 XMLHttpRequest ajax 통신하는데post로 보냄에도 파라미터 정보가 노출되네요. post로 보낼 때는 .setRequestHeader 메소드 사용해서헤더 정보에 숨기도록 적용했습니다. 조언 주시면 감사하겠습니다. var memberId &#61; document.getElementById(&#34;memberId&#34;); var memberPw &#61; document.getElementById(&#34;memberPw&#34;); var url &#61; &#34;${pageContext.request.contextPath}/login&#34;; var xmlHttpRequest &#61; new XMLHttpRequest(); //비동기 방식으로 Request를 오픈 //메소드, URL,(비동기식 여부) xmlHttpRequest.open(&#34;POST&#34;,url); //post 전송 시 MIME type 설정 xmlHttpRequest.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded'); //post 파라미터 xmlHttpRequest.send(&#34;memberId&#61;&#34;&#43;memberId.value&#43;&#34;&memberPw&#61;&#34;&#43;memberPw.value); // Event Handler xmlHttpRequest.onreadystatechange &#61; function(){ .... }

우헤헤헤헤 · Answer

크롬이 노출된다고 메세지 보내서 무슨 소리니냐고 확인했는데 정말이네요..

프로야근맨 · Answer

도움이 되실지 모르겠지만 보통 http body 가 노출되는 취약점은 https를 적용합니다. 그러면 실제 패킷은 암호화가 되어서 전송하기 때문에 중간에 패킷을 가로채도 문제가 없습니다만.. 간혹 브라우저 혹은 피들러와같은 디버깅 툴에 평문으로 보인다고 지적을 받으면 rsa 로 클라이언트 단에서 암호화를해서 전송하고 서버에서 파라미터의 값을 복호화해서 비즈니스로직의 파라미터로 태웁니다. 참고 : https://cofs.tistory.com/297참고2 : https://medium.com/sjk5766/wireshark와-fiddler-패킷-캡쳐-원리-a0cf8bc6698f

우헤헤헤헤 · Answer

프로야근맨 감사합니다.

XMLHttpRequest POST 방식 노출

3개의 답변

#xmlhttprequest 목록