Skriptovanje između sajtovaCross-Site Scripting

Opis

Pregledač tada izvršava skriptu u kontekstu sajta kojem korisnik veruje. To znači da skripta može da vidi deo sadržaja stranice, menja prikaz, šalje zahteve, krade tokene koji nisu dobro zaštićeni ili korisniku podmetne lažni formular za prijavu. Za korisnika sve i dalje izgleda kao isti, poznati sajt.

XSS je često posledica lošeg odnosa prema korisničkom unosu. Komentar, pretraga, ime profila, parametar u linku ili deo DOM-a postaju mesta kroz koje napadač ubacuje maliciozni kod. Ako veb aplikacija taj unos ne obradi pravilno pre prikaza, granica između sadržaja i programskog koda polako nestaje.

Primeri

• Napadač ubacuje skript u komentar na forumu. Svaki korisnik koji otvori temu nesvesno izvršava taj kod u svom pregledaču, na svom računaru.
• Žrtvi se šalje link sa posebno pripremljenim parametrom za pretragu. Stranica vraća rezultat zajedno sa skriptom koja se odmah izvršava.
• DOM XSS menja prikaz stranice i ubacuje lažni formular za prijavu koji liči na deo legitimne aplikacije.

Napomene

• XSS nije samo estetsko pitanje. Ako se izvede na pravom mestu, može da uzrokuje krađu sesija, preuzimanje naloga ili prikriveni ulaz u poslovnu aplikaciju.
• Zaštita se ne svodi na brisanje nekoliko opasnih znakova. Potrebni su pravilno enkodiranje izlaza, Content Security politika, HttpOnly kolačići i disciplina u radu sa korisničkim unosom.