UTF-7 XSS 자료 정리

UTF-7 XSS 관련된 기존 자료 정리

발표 자료 1: http://www.blackhat.com/presentations/bh-jp-08/bh-jp-08-Hasegawa/BlackHat-japan-08-Hasegawa-Char-Encoding.pdf
발표 자료 2: http://openmya.hacker.jp/hasegawa/public/20071107/s6/h6.html?file=datae.txt
UTF-7 XSS Cheat Sheet: http://openmya.hacker.jp/hasegawa/security/utf7cs.html

참고로 멀티바이트 처리에 관여하는 C:\Windows\System32\MLang.dll 에서 한글로 인식하는 문자열에 대해 알아보려면 string 명령어을 이용해 ks, ko, 949 등으로 검색해보면 되지만 이미 친절하게 조사해두신 분이 있다.
http://www.phdcc.com/fiscd/charsets.htm

최근 Java 진영, Macintosh 진영의 영향을 받아 HTML 페이지에 MS949 혹은 MS-949, CP949 혹은 CP-949 를 집어넣는 경우를 보게 되는데, 이는 IE 에서 인식할 수 있는 캐릭터셋이 아니므로 위에서 예로 들고 있는 UTF-7 XSS에 취약하다 (한글 캐릭터셋을 MS949, CP949로 부르는 것은 웹 세상에선 표준이 아니다. 맨 하단의 iana 자료 참조 요망).

Java에서의 MS949와 euc-kr 문제는 다음의 몇몇 article 참조.
1. http://www.javaservice.net/~java/bbs/read.cgi?m=devtip&b=servlet&c=r_p&n=1037684789
2. http://mwultong.blogspot.com/2006/11/cp949-ms949-euc-kr-ksc5601-1987.html

헷갈리실 분들을 위해 정리하자면...
1. Windows OS: CP949로 표기 (CP949=MS949)
2. Java: MS949 - 확장완성형, CP949, euc-kr, ksc_5601 계열: 완성형
3. Internet Explorer: MS949, CP949 못알아먹음.
4. 못알아먹는 경우 UTF-7 XSS 취약점 공략 가능

참고 : http://www.iana.org/assignments/character-sets (IANA에 등록된 캐릭터셋 문자열)
이글루스 가든 - professional secur...