<iframe src="javascript:alert(xss)">.(This challenge is potentially harmful on Docker!)Reflected XSS 공격을 통해 주어진 코드를 삽입한다.
Reflected XSS란 공격자가 악성 스크립트가 포함된 URL을 피해자에게 전달하여 피해자가 URL을 클릭했을 때 서버가 응답을 전송하는 과정에서 스크립트가 실행된다.
공격을 수행하기 위해 피해자의 입력값이 그대로 표시되는 페이지를 찾아보자.
Track Order 페이지에서 URL에 있는 id 값이 그대로 화면에 나타나는 것을 알 수 있다. 이를 이용해서 id 값에 주어진 스크립트를 삽입하여 악성 URL을 작성하면
XSS 공격에 성공하였다.
DOM XSS 공격과 비슷하게 스크립트 삽입에 대한 대비를 통해 공격을 예방할 수 있을 것이다.