Термін
XSS
Міжсайтовий скриптинг - атака, за якої зловмисник впроваджує у веб-сторінку шкідливий скрипт, що потім виконується в браузері інших відвідувачів і може викрасти їхню сесію чи дані. Захищають правильна обробка введення та заголовки безпеки.
Оновлено
Що це означає
Міжсайтовий скриптинг, скорочено XSS, - це атака, під час якої зловмисник впроваджує на вебсторінку шкідливий скрипт, що потім виконується в браузері інших відвідувачів. Скрипт може викрасти їхню сесію і захопити авторизований акаунт, отримати дані з форм чи змінити вміст сторінки.
Розрізняють збережений XSS, коли шкідливий код зберігається, наприклад, у коментарі чи профілі і виконується в кожного, хто відкриває сторінку, відбитий XSS, коли код є частиною посилання, на яке клікає жертва, і XSS у браузері, коли вразливість виникає в самому JavaScript сторінки.
Як і SQL-ін'єкція, XSS - одна з найчастіших вразливостей вебзастосунків. Причиною майже завжди є неправильна обробка введення користувача, яке без екранування виводиться на сторінці і виконується браузером як код.
Як це працює на практиці
Базовий захист - правильна обробка виведення, тобто кодування всіх даних користувачів перед відображенням, і перевірка введення. Сучасні вебфреймворки роблять це значною мірою автоматично, але розробникам треба бути уважними у винятках, коли вставляють сирий HTML.
Додатковий рівень захисту дають заголовки безпеки, насамперед політика безпеки контенту, яка обмежує, звідки сторінка може завантажувати й виконувати скрипти. Авторизаційні cookies мають мати прапорці, що забороняють їх читання зі скриптів.
Регулярні тести на проникнення й оновлення використовуваних бібліотек у межах керування оновленнями допомагають виявляти й усувати вразливості. Великі компанії використовують і програми bug bounty, винагороджуючи дослідників безпеки за знайдені помилки.
На що звернути увагу
WAF може перехоплювати багато спроб XSS, але не замінює безпечного програмування. Зловмисники часто знаходять способи обійти фільтри, тому важливо усувати причину безпосередньо в коді застосунку.
Якщо XSS призведе до витоку персональних даних клієнтів, це може бути порушенням захисту даних з обов'язком повідомити наглядовий орган і суб'єктів даних. Замовляючи сайт, варто включити в договір з підрядником вимоги до безпеки і порядок виправлення вразливостей.
Потрібно пояснити термін на вашій конкретній ситуації? Консультації від 55 € / година без ПДВ, залежно від теми та складності.