XSS: 스크립트 인젝션 방어

# ⚠️ 교육 목적, 허가된 환경에서만 사용.
from flask import Flask, request, render_template_string
import html

app = Flask(__name__)


# ❌ 취약: 사용자 입력을 HTML에 그대로 삽입
@app.route('/search-vulnerable')
def search_vulnerable():
    query = request.args.get('q', '')
    return f'<h1>검색 결과: {query}</h1>'
    # 공격: ?q=<script>alert(document.cookie)</script>


# ✅ 안전 1: HTML 엔티티 인코딩
@app.route('/search-safe-v1')
def search_safe_v1():
    query = request.args.get('q', '')
    safe_query = html.escape(query)
    return f'<h1>검색 결과: {safe_query}</h1>'


# ✅ 안전 2: 템플릿 엔진 자동 이스케이프 (Jinja2)
@app.route('/search-safe-v2')
def search_safe_v2():
    query = request.args.get('q', '')
    return render_template_string(
        '<h1>검색 결과: {{ query }}</h1>',  # Jinja2 자동 이스케이프
        query=query,
    )


# ✅ 안전 3: Content-Security-Policy 헤더
@app.after_request
def set_csp(response):
    response.headers['Content-Security-Policy'] = (
        "default-src 'self'; "
        "script-src 'self'; "
        "style-src 'self' 'unsafe-inline'; "
        "img-src 'self' data:;"
    )
    response.headers['X-XSS-Protection'] = '1; mode=block'
    response.headers['X-Content-Type-Options'] = 'nosniff'
    return response

# ⚠️ 본인 소유 사이트만 점검 — 권한 없는 사이트에 사용 금지.
import requests
from bs4 import BeautifulSoup
from urllib.parse import urljoin, urlencode

XSS_PAYLOADS = [
    '<script>alert(1)</script>',
    '"><script>alert(1)</script>',
    "javascript:alert(1)",
    '<img src=x onerror=alert(1)>',
    '<svg onload=alert(1)>',
]


def scan_xss(url: str, params: dict) -> list[dict]:
    findings = []
    for payload in XSS_PAYLOADS:
        for key in params:
            test_params = {**params, key: payload}
            try:
                r = requests.get(url, params=test_params, timeout=5)
                if payload in r.text:
                    findings.append({
                        'param': key,
                        'payload': payload,
                        'url': r.url,
                        'evidence': '응답 본문에 payload 그대로 반사됨',
                    })
            except requests.RequestException as e:
                print(f'[!] 요청 실패: {e}')
    return findings


# 사용 (본인 사이트)
results = scan_xss(
    'https://my-site.local/search',
    {'q': 'test', 'lang': 'ko'},
)
for f in results:
    print(f"  취약: {f['param']} → {f['payload']}")