Was ist Cross-Site-Scripting

18. April 2020 By Christine Margret Keine Kommentare 5 Мinuten

Cross-Site Scripting, auch XXS genannt, ist ein bösartiger Angriff, bei dem böswillige Skripte absichtlich in den Webbrowser eines Benutzers eingeschleust werden. Der Angreifer führt bösartigen Code in einer Webanwendung oder Webseite aus und sobald der Benutzer die Webanwendung oder Webseite besucht; das bösartige Skript wird automatisch an den Browser des Benutzers übermittelt.

Cross Site Scripting

Auf diese Weise übernimmt der Angreifer die Kontrolle über den Browser des Benutzers oder sein Konto auf einer bestimmten Website. Dies bedeutet, dass dieser Angriff die Webanwendung selbst nicht schädigt, sondern die Benutzer dieser Anwendung betrifft.

Außerdem werden die schädlichen Skripte normalerweise als JavaScript-Code übertragen. Die bösartigen Codes können jedoch auch die Browser der Benutzer in anderen Sprachen ausnutzen, darunter HTML, Ajax, Flash und Java.

Erhalten Sie FastestVPN

Zusammenfassung der Erläuterung

Hier ist die kurze Zusammenfassung der Cross-Site-Scripting-Erklärung:

XXS ist ein webbasierter Angriff auf anfällige Webseiten oder Webanwendungen
Es schadet den Benutzern der Webanwendung, nicht der Anwendung selbst
XXS überträgt Schadprogramme über JavaScript an Benutzer.

Wie funktioniert ein Cross-Site-Scripting (XXS)-Angriff?

Cross-Site-Scripting-Angriffe finden so statt, dass zuerst eine anfällige Webanwendung mit bösartigem Skript manipuliert wird und dann die Webanwendung dieses bösartige JavaScript an den Browser des Benutzers übermittelt.

Sobald das schädliche Skript in den Browser des Benutzers gelangt, kann der Angreifer leicht die Kontrolle über den Browser des Benutzers übernehmen.

Zweck des Cross-Site-Scripting

Ein Angreifer führt XXS-Angriffe aus folgenden Gründen durch:

Um ein Konto zu hacken
Bösartige Software und Viren auf Systeme zu übertragen, die das Internet nutzen
Um auf den Inhalt der Zwischenablage und den Browserverlauf eines Benutzers zuzugreifen
Um den Browser des Benutzers remote auszuführen
Um Intranet-Anwendungen auszunutzen und darauf zuzugreifen

Beispiele für Cross-Site-Scripting

Einige der anfälligsten Quellen für die Injektion von XXS sind selbst gehostete Bulletin-Board-Foren und Websites, die das Posten von Benutzern ermöglichen.

Jetzt teilen wir unten ein einfaches Beispiel für ein Cross-Site-Skript:

Es ist ein JSP-Code, in dem Sie sehen können, dass eine HTTP-Anforderung gestellt wird, und der Code liest eine Mitarbeiter-ID, eid, und zeigt sie dem Benutzer an.

Der Code in diesem Beispiel funktioniert nur gut, wenn der Code (eid) standardmäßigen alphanumerischen Text enthält.

Wenn derselbe Code (eid) jedoch Metazeichen oder Quellcodewerte verwendet, bedeutet dies, dass der Code vom Webbrowser gezwungen wird, dem Benutzer als HTTP-Antwort angezeigt zu werden.

Zunächst scheint es keine große Schwachstelle zu sein, da niemand jemals eine bösartige URL eingeben würde. Die Unterbrechung beginnt jedoch, wenn ein Angreifer einen böswilligen Link erstellt und Benutzer dazu verleitet, den in der URL verborgenen Link zu besuchen.

Normalerweise trickst der Angreifer Benutzer durch Social Engineering und E-Mails aus und lockt Benutzer dazu, einen bösartigen Link zu besuchen.

Sobald der Benutzer auf den schädlichen Link klickt, sendet er unbeabsichtigt den schädlichen Inhalt der Webanwendung an sein eigenes System zurück.

Der Prozess des Zurückspiegelns des schädlichen Inhalts wird als reflektiertes XXS bezeichnet. Die XXS-Angriffe verursachen schwerwiegende Störungen, die häufig zu Manipulationen und schwerem Datendiebstahl führten.

Arten von Cross-Site-Scripting

Gespeichertes/persistentes XSS

Gespeicherte/persistente XSS-Angriffe sind die störendste Form eines XSS-Angriffs, bei dem ein Angreifer ein permanentes Skript an die Webanwendung überträgt. Benutzer fallen böswilligen Skripten zum Opfer, wenn eine Anfrage auf dem Server gestellt wird.

Reflektiertes XXS

Bei dieser Art von Cross-Site-Scripting wird der Server nicht direkt angegriffen. Es verwendet E-Mails, um Benutzer dazu zu bringen, bösartige Skripte im Browser auszuführen. Der Browser glaubt, dass es sich um ein vertrauenswürdiges Skript handelt, und daher werden alle schädlichen Inhalte im Browser des Benutzers zurückgespiegelt.

DOM-basierte Angriffe

DOM-basierte Angriffe sind weniger verbreitet und unterscheiden sich dadurch, dass sie den serverseitigen Code niemals stören, sondern sich nur auf die clientseitigen Skripte verlassen.

DOM bezieht sich auf das Dokumentobjektmodell, das eine Anwendungsprogrammierschnittstelle (API) für HTML- und XML-Dokumente ist. DOM-basierte Angriffe finden nur statt, wenn eine Webanwendung Benutzerdaten in einem Dokumentobjektmodell anzeigt.

Die Webanwendung liest die Daten des Benutzers und übermittelt sie an den Browser. Wenn Benutzerdaten nicht sicher sind, kann ein Angreifer leicht schädliche Skripte im DOM speichern.

So bestimmen Sie die Schwachstelle Ihrer Website

Sie können die Schwachstellen Ihrer Website einfach mit Web-Schwachstellen-Scannern wie Nessus, Nikto, Vega, Grab, WebScarab und vielen anderen überprüfen.

Es ist wichtig, eine Sicherheitsüberprüfung des Codes sorgfältig durchzuführen und alle möglichen Sicherheitslücken herauszufinden, die es der Eingabe einer HTTP-Anforderung ermöglichen könnten, in die HTML-Ausgabe einzudringen.

Denken Sie daran, dass eine Vielzahl von HTML-Tags verwendet werden können, um ein bösartiges JavaScript auszuführen. Daher ist es wichtig, eine Website über Web-Sicherheitsscanner zu scannen.

Falls ein Teil der Website anfällig ist, besteht die Möglichkeit, dass die gesamte Website Schaden erleidet.

So verhindern Sie Cross-Site-Scripting-Angriffe

Benutzereingaben entgehen

Das Maskieren von Benutzereingaben ist eine Methode, um XXS-Angriffe zu verhindern. Bei dieser Methode müssen Sie sicherstellen, dass die Daten, die Ihre Webanwendung an den Webbrowser der Benutzer zurücksenden wird, sicher sind.

WordPress und PHP umfassen Funktionen, die die von Ihnen ausgegebenen Daten automatisch bereinigen.

Eingabevalidierung

Die Eingabevalidierung ist der Prozess, bei dem alle von einer Webanwendung bereitgestellten Daten gründlich geprüft und verifiziert werden, bevor sie an den Browser des Benutzers zurückgesendet werden.

Webanwendungen müssen Daten prüfen und validieren, bevor sie in andere Systeme gelangen. Es hilft, bösartige Links oder Programme zu erkennen, die darauf abzielen, die Systeme der Benutzer anzugreifen.

Zusammenfassung

XXS-Angriffe sind weit verbreitet und können die Privatsphäre der Benutzer beeinträchtigen. Es ist jedoch einfach, Ihre Webanwendungen zu testen und sie vor schädlichen Skripts zu schützen.

Webanwendungen müssen ihre Eingaben ständig bereinigen, bevor sie direkt an den Browser der Benutzer gesendet werden. Außerdem helfen regelmäßige Web-Scans Webanwendungen dabei, Schwachstellen zu finden.