Wat is cross-site scripting

18 april 2020 By Christine Margreet Geen reacties 5 minuten

Cross-Site Scripting, ook wel XXS genoemd, is een kwaadwillende aanval waarbij opzettelijk kwaadaardige scripts in de webbrowser van een gebruiker worden geïnjecteerd. De aanvaller voert kwaadaardige code uit in een webapplicatie of webpagina en zodra de gebruiker de webapplicatie of webpagina bezoekt; het kwaadaardige script wordt automatisch naar de browser van de gebruiker verzonden.

Cross Site Scripting

Op deze manier neemt de aanvaller de controle over de browser van de gebruiker of zijn account op een specifieke website. Het betekent dat deze aanval de webapplicatie zelf niet schaadt, maar de gebruikers van die applicatie treft.

Bovendien verzenden de kwaadaardige scripts meestal als JavaScript-code. De kwaadaardige codes kunnen echter ook misbruik maken van de browsers van gebruikers in andere talen, waaronder HTML, Ajax, Flash en Java.

Krijgen FastestVPN

Samenvatting van de uitleg

Hier is de korte samenvatting van Cross-Site Scripting Uitleg:

XXS is een webgebaseerde aanval op kwetsbare webpagina's of webapplicaties
Het schaadt gebruikers van de webapplicatie, niet de applicatie zelf
XXS verzendt schadelijke programma's naar gebruikers via JavaScript.

Hoe werkt Cross-Site Scripting (XXS) Attack?

Cross-site scripting-aanvallen vinden plaats op een manier dat eerst een kwetsbare webtoepassing wordt gemanipuleerd met een kwaadaardig script, en vervolgens levert de webtoepassing dat schadelijke JavaScript aan de browser van de gebruiker.

Zodra het kwaadaardige script de browser van de gebruiker binnenkomt, kan de aanvaller gemakkelijk de controle over de browser van de gebruiker overnemen.

Doel van cross-site scripting

Een aanvaller voert XXS-aanvallen uit vanwege de volgende redenen:

Om een account te hacken
Om schadelijke software en virussen op systemen via internet te verzenden
Om toegang te krijgen tot de inhoud van het klembord en de browsergeschiedenis van een gebruiker
Om de browser van de gebruiker op afstand uit te voeren
Om intranettoepassingen te exploiteren en te openen

Voorbeelden van cross-site scripting

Enkele van de meest kwetsbare bronnen voor het injecteren van XXS zijn zelfgehoste bulletinboard-forums en websites waarop gebruikers berichten kunnen plaatsen.

Nu delen we hieronder een eenvoudig voorbeeld van Cross-Site Script:

Het is een JSP-code, waarin je kunt zien dat er een HTTP-verzoek is gedaan, en de code leest een werknemers-ID, eid, en toont deze aan de gebruiker.

De code in dit voorbeeld werkt alleen goed als de code (eid) standaard alfanumerieke tekst bevat.

Maar als dezelfde code (eid) metatekens of broncodewaarde gebruikt, betekent dit dat code door de webbrowser wordt gedwongen om aan de gebruiker te worden weergegeven als HTTP-antwoord.

In eerste instantie lijkt het geen grote kwetsbaarheid te zijn, omdat niemand ooit een kwaadaardige URL zou invoeren. De verstoring begint echter wanneer een aanvaller een kwaadaardige link maakt en gebruikers misleidt om de link te bezoeken die in de URL is verborgen.

Gewoonlijk bedriegt de aanvaller gebruikers via social engineering en e-mails en lokt hij gebruikers uit om een kwaadaardige link te bezoeken.

Zodra de gebruiker op de kwaadaardige link klikt, stuurt hij onbedoeld de schadelijke inhoud van de webapplicatie terug naar zijn eigen systeem.

Het proces van het terugkaatsen van de schadelijke inhoud wordt weerspiegeld XXS genoemd. De XXS-aanvallen veroorzaken ernstige verstoringen die vaak leiden tot geknoei en ernstige gegevensdiefstal.

Soorten cross-site scripting

Opgeslagen/aanhoudende XSS

Stored/Persistent XSS-aanval is de meest verstorende vorm van een XSS-aanval waarbij een aanvaller een permanent script op de webapplicatie verzendt. Gebruikers worden het slachtoffer van kwaadaardige scripts wanneer een verzoek op de server wordt gedaan.

Weerspiegeld XXS

Bij dit type Cross-Site Scripting wordt de server niet rechtstreeks aangevallen. Het gebruikt e-mails om gebruikers te misleiden om kwaadaardige scripts in de browser uit te voeren. De browser gelooft dat het een vertrouwd script is en daarom wordt alle kwaadaardige inhoud weerspiegeld in de browser van de gebruiker.

Op DOM gebaseerde aanvallen

Op DOM gebaseerde aanvallen komen minder vaak voor en zijn anders in die zin dat ze nooit de server-side code verstoren, het vertrouwt alleen op de client-side scripts.

DOM verwijst naar het documentobjectmodel dat een API (Application Programming Interface) is voor HTML- en XML-documenten. Op DOM gebaseerde aanvallen vinden alleen plaats wanneer een webtoepassing gebruikersgegevens weergeeft in een documentobjectmodel.

De webapplicatie leest de gegevens van de gebruiker en verzendt deze naar de browser. Als gebruikersgegevens niet veilig zijn, kan een aanvaller eenvoudig kwaadaardige scripts in de DOM opslaan.

Hoe u de kwetsbaarheid van uw website kunt bepalen

U kunt eenvoudig de kwetsbaarheid van uw website controleren door middel van webkwetsbaarheidsscanners zoals Nessus, Nikto, Vega, Grab, WebScarab en nog veel meer.

Het is belangrijk om een zorgvuldige veiligheidscontrole van de code uit te voeren en alle mogelijke beveiligingslekken te ontdekken waardoor de invoer van een HTTP-verzoek toegang kan krijgen tot de HTML-uitvoer.

Houd er rekening mee dat verschillende HTML-tags kunnen worden gebruikt om kwaadaardig JavaScript uit te voeren. Daarom is het belangrijk om een website te scannen via webbeveiligingsscanners.

Als een deel van de website kwetsbaar is, bestaat de kans dat de hele website het slachtoffer wordt van schade.

Hoe Cross-Site Scripting-aanvallen te voorkomen

Ontsnappende gebruikersinvoer

Het ontsnappen van gebruikersinvoer is een methode om XXS-aanvallen te voorkomen. Bij deze methode moet u ervoor zorgen dat de gegevens die uw webtoepassing op het punt staat terug te sturen naar de webbrowser van de gebruiker, veilig zijn.

WordPress en PHP bevatten functies die de gegevens die u uitvoert automatisch opschonen.

Ingangsvalidatie

Invoervalidatie is het proces waarbij alle gegevens die door een webtoepassing worden geleverd, grondig worden gecontroleerd en geverifieerd voordat ze worden teruggestuurd naar de browser van de gebruiker.

Webapplicaties moeten gegevens controleren en valideren voordat ze in andere systemen terechtkomen. Het helpt bij het detecteren van kwaadaardige koppelingen of programma's die bedoeld zijn om de systemen van gebruikers aan te vallen.

Conclusie

XXS-aanvallen komen vaak voor en kunnen de privacy van gebruikers verstoren, maar het is eenvoudig te testen en te voorkomen dat uw webapplicaties schadelijke scripts gebruiken.

Webapplicaties moeten hun invoer voortdurend opschonen voordat ze deze rechtstreeks naar de browser van de gebruiker sturen. Regelmatige webscans helpen webapplicaties ook om vast te stellen of er een kwetsbaarheid bestaat.