G-Test Pattern

이전의 글의 버전업을 공개합니다. V4는 이전에 개발되었습니다만 이번에 새로운 문제도 발견되어 V5까지 공개합니다.

이 패턴의 목적은 웹에서의 데이터 처리를 제대로 하는지에 대한 핸들링을 검증하는 일반적인 실험용입니다. SQL Injection쪽과는 상관이 없습니다.

1. Version 1 : & ' "의 처리 확인, <,> 처리도

   <gen&doh'">

2. Version 2 : 자바스크립트 대응 주석코드 추가

   <!--gen&doh'"-->

3. Version 3 : +가 URI로 넘어갈때 공백으로 바뀌는 특성 테스트

   <!--gen&doh+'"-->

4. Version 4 : V2에서 주석째로 제거되는 경우 에러가 나지 않아 에러를 쉽게 발견하는 코드 추가

   <!-- <![CDATA[gen&doh'"-->+sihwpg]]>

5. Version 5 : 바보같은 파서를 위한 오픈 코멘트

   <!-- <![CDATA[gen&doh'"-->+sihwpg]]><!--</miyu>

version 2 부터는 ghost님이 참여하셨고, version 5는 miyu님이 발견하셨습니다. version 4부터는 JS 내에서의 스트링 처리를 테스트 합니다. 즉 JS가 아닌 영역은 version 3로도 충분합니다.

정확히 입력받고, 출력되고, 표현되며, 다른 부분에 영향을 주어서는 안됩니다. Version 4의 경우 "<!--"에 대해 파싱 단계에서 무난히 넘어간 후 Script 영역에서 다르게 처리되므로 에러가 발생하지 않는 경향이 있어 이전글에서 설명하였듯이 아예 에러가 나도록 유도합니다. 더불어 "</miyu>"파트는 FireBug가 지적하는 "</"문제를 찾기 위함입니다.

이 글은 절대 펌을 허락하지 않습니다. 오류 수정이나 정보의 집합을 위함입니다. 링크만 거시기 바랍니다.