Что такое межсайтовый скриптинг

18 апреля 2020 By Кристин Маргрет Без комментариев 5 минут

Межсайтовый скриптинг, также называемый XXS, представляет собой вредоносную атаку, которая преднамеренно внедряет вредоносные скрипты в веб-браузер пользователя. Злоумышленник выполняет вредоносный код в веб-приложении или веб-странице, и как только пользователь посещает веб-приложение или веб-страницу; вредоносный скрипт автоматически передается в браузер пользователей.

Скрипты для сайта

Таким образом злоумышленник получает контроль над браузером пользователя или его учетной записью на определенном веб-сайте. Это означает, что эта атака не наносит вреда самому веб-приложению, а затрагивает пользователей этого приложения.

Более того, вредоносные скрипты обычно передаются как код JavaScript. Однако вредоносные коды также могут использовать браузеры пользователей на других языках, включая HTML, Ajax, Flash и Java.

Получить FastestVPN

Резюме объяснения

Вот краткое изложение объяснения межсайтового скриптинга:

XXS — это веб-атака на уязвимые веб-страницы или веб-приложения.
Это вредит пользователям веб-приложения, а не самому приложению
XXS передает вредоносные программы пользователям через JavaScript.

Как работает атака межсайтового скриптинга (XXS)?

Атаки с использованием межсайтовых сценариев происходят таким образом, что сначала уязвимое веб-приложение манипулирует вредоносным сценарием, а затем веб-приложение доставляет этот вредоносный код JavaScript в браузер пользователя.

Как только вредоносный скрипт попадает в браузер пользователя, злоумышленник может легко получить контроль над браузером пользователя.

Цель межсайтового скриптинга

Злоумышленник выполняет атаки XXS по следующим причинам:

Чтобы взломать аккаунт
Для передачи вредоносного программного обеспечения и вирусов в системы, использующие Интернет
Чтобы получить доступ к содержимому буфера обмена пользователя и истории браузера
Для удаленного запуска браузера пользователя
Для использования и доступа к приложениям интрасети

Примеры межсайтового скриптинга

Одними из наиболее уязвимых источников для внедрения XXS являются собственные форумы досок объявлений и веб-сайты, на которых пользователи могут публиковать сообщения.

Теперь мы поделимся простым примером межсайтового скрипта ниже:

Это код JSP, в котором вы можете видеть, что HTTP-запрос сделан, и код считывает идентификатор сотрудника, eid, отображая его пользователю.

Код в этом примере будет работать нормально, только если код (eid) включает стандартный буквенно-цифровой текст.

Но если тот же код (eid) использует какие-либо метасимволы или значение исходного кода, это означает, что веб-браузер принудительно отобразит код для пользователя в качестве ответа HTTP.

Первоначально это не кажется серьезной уязвимостью, потому что никто никогда не введет вредоносный URL-адрес. Однако сбои начинаются, когда злоумышленник создает вредоносную ссылку и обманом заставляет пользователей перейти по ссылке, скрытой в URL-адресе.

Обычно злоумышленник обманывает пользователей с помощью социальной инженерии и электронных писем и привлекает пользователей к переходу по вредоносной ссылке.

Как только пользователь нажимает на вредоносную ссылку, он непреднамеренно отправляет вредоносный контент веб-приложения обратно в свою систему.

Процесс отражения вредоносного содержимого называется отраженным XXS. Атаки XXS вызывают серьезные сбои, которые часто приводят к взлому и серьезной краже данных.

Типы межсайтового скриптинга

Сохраняемый/постоянный XSS

Хранимая/постоянная XSS-атака — это наиболее разрушительная форма XSS-атаки, при которой злоумышленник передает постоянный скрипт в веб-приложение. Пользователи становятся жертвами вредоносных скриптов при любом запросе на сервер.

Отраженный XXS

Этот тип межсайтового скриптинга не предполагает прямой атаки на сервер. Он использует электронную почту, чтобы заставить пользователей выполнять вредоносные сценарии в браузере. Браузер считает, что это доверенный сценарий, и, следовательно, весь вредоносный контент отражается в браузере пользователя.

Атаки на основе DOM

Атаки на основе DOM менее распространены и отличаются тем, что никогда не нарушают работу кода на стороне сервера, а опираются только на сценарии на стороне клиента.

DOM относится к объектной модели документа, которая представляет собой интерфейс прикладного программирования (API) для документов HTML и XML. Атаки на основе DOM происходят только тогда, когда веб-приложение отображает пользовательские данные в объектной модели документа.

Веб-приложение считывает данные пользователя и передает их в браузер. Если пользовательские данные не защищены, злоумышленник может легко хранить вредоносные скрипты в DOM.

Как определить уязвимость вашего сайта

Вы можете легко проверить уязвимость своего веб-сайта с помощью сканеров веб-уязвимостей, таких как Nessus, Nikto, Vega, Grab, WebScarab и многих других.

Важно тщательно провести проверку безопасности кода и выяснить все возможные дыры в безопасности, которые могут позволить входным данным HTTP-запроса получить доступ к выходным данным HTML.

Имейте в виду, что для выполнения вредоносного кода JavaScript могут использоваться различные HTML-теги. Поэтому очень важно сканировать веб-сайт с помощью сканеров веб-безопасности.

В случае, если какая-либо часть веб-сайта уязвима, есть вероятность, что весь веб-сайт может быть поврежден.

Как предотвратить атаки межсайтового скриптинга

Экранирование ввода пользователя

Экранирование пользовательского ввода — это метод предотвращения XXS-атак. В этом методе вы должны убедиться, что данные, которые ваше веб-приложение собирается отправить обратно в веб-браузер пользователей, безопасны.

WordPress и PHP содержат функции, которые автоматически очищают данные, которые вы выводите.

Проверка ввода

Проверка ввода — это процесс, в котором любые данные, предоставленные веб-приложением, тщательно проверяются и проверяются перед отправкой обратно в браузер пользователя.

Веб-приложения должны проверять и подтверждать данные перед входом в другие системы. Это помогает обнаружить любую вредоносную ссылку или программу, предназначенную для атаки на системы пользователей.

Заключение

XXS-атаки распространены и могут нарушить конфиденциальность пользователей, однако их легко протестировать и защитить ваши веб-приложения от вредоносных скриптов.

Веб-приложения должны постоянно дезинфицировать вводимые данные, прежде чем отправлять их непосредственно в браузер пользователей. Кроме того, регулярное веб-сканирование поможет веб-приложениям обнаружить наличие уязвимостей.