XSS

Что это значит

Межсайтовый скриптинг, сокращённо XSS, - это атака, при которой злоумышленник внедряет на веб-страницу вредоносный скрипт, который затем выполняется в браузере других посетителей. Скрипт может украсть их сессию и захватить авторизованный аккаунт, получить данные из форм или изменить содержимое страницы.

Различают хранимый XSS, когда вредоносный код сохраняется, например, в комментарии или профиле и выполняется у каждого, кто открывает страницу, отражённый XSS, когда код является частью ссылки, по которой кликает жертва, и XSS в браузере, когда уязвимость возникает в самом JavaScript страницы.

Как и SQL-инъекция, XSS - одна из самых частых уязвимостей веб-приложений. Причиной почти всегда является неправильная обработка пользовательского ввода, который без экранирования выводится на странице и выполняется браузером как код.

Как это работает на практике

Базовая защита - правильная обработка вывода, то есть кодирование всех пользовательских данных перед отображением, и проверка ввода. Современные веб-фреймворки делают это во многом автоматически, но разработчикам нужно быть внимательными в исключениях, когда вставляется сырой HTML.

Дополнительный уровень защиты дают заголовки безопасности, прежде всего политика безопасности контента, ограничивающая, откуда страница может загружать и выполнять скрипты. У cookies авторизации должны быть флаги, запрещающие их чтение из скриптов.

Регулярные тесты на проникновение и обновление используемых библиотек в рамках управления обновлениями помогают выявлять и устранять уязвимости. Крупные компании используют и программы bug bounty, вознаграждая исследователей безопасности за найденные ошибки.

На что обратить внимание

WAF может перехватывать многие попытки XSS, но не заменяет безопасное программирование. Злоумышленники часто находят способы обойти фильтры, поэтому важно устранять причину прямо в коде приложения.

Если XSS приведёт к утечке персональных данных клиентов, это может быть нарушением защиты данных с обязанностью уведомить надзорный орган и субъектов данных. При заказе сайта стоит включить в договор с подрядчиком требования к безопасности и порядок исправления уязвимостей.