XSS атака - межсайтовый скриптинг

Критическая уязвимость. Максимальный уровень угрозы.

XSS (Сross Site Sсriрting — «межсайтовый скриптинг») — тип атаки на пользователей сайта, целью которой является хищение конфиденциальных данных.

XSS (Сross Site Sсriрting) является максимальной угрозой класса А3 по классификации OWASP


Основное применение XSS атак - это хищение аутентификационных данных администраторов сайта для доступа в административный раздел, иных пользователей имеющих личные кабинеты, или персональные доступы к закрытым разделам сайта.

Конечной целью XSS атаки может быть не только взлом сайта, но и конфиденциальные данные его пользователей, такие как:

  • Адреса, телефоны, e-mail, контактная информация
  • Номера кредитных карт или доступов к платежным системам.
  • Учетные данные доступа к сторонним сервисам.
  • Прочие конфиденциальные данные

Кроме этого XSS применяется для атак на персональные компьютеры пользователей сайта, используя уязвимости браузеров, для заражения их вирусами и хищения информации. Возможность эксплуатации BeEF (сокращение от Browser Exploitation Framework) через XSS – является максимальной угрозой как для сайта, так и для ПК его администратора.

XSS атаки могут быть использованы для организации фишинг атак.
Возможность эксплуатации XSS может быть использован для нападения на базу данных, включения или выполнения системных скриптов сайта, стать промежуточным звеном развития целевой атаки.

В отдельных случаях с помощью XSS возможна организация DoS атаки на сайт.

Возможность эксплуатации XSS для сайта - это всегда угроза, позволяющие атакующему развивать самые разнообразные сценарии атак.

Отражённые (Непостоянные) XSS атаки

Отражённые XSS: техника эксплуатации атаки не предполагает хранение атакующего скрипта сервере уязвимого сайта и его автоматического выполнения в браузере жертвы. Для реализации этого типа XSS атаки требуется дополнительное действие, которое должен выполнить браузер жертвы (например, переход по специально сформированной ссылке). Такие атаки называют первым типом XSS.

ПРИМЕР ОТРАЖЕННОЙ ИЛИ АКТИВНОЙ XSS АТАКИ:

http://vulnsite.com/search.php?q=<script>XSS();</script>


Хранимые (Постоянные) XSS атаки

Хранимые XSS являются наиболее грозными и опасными атаками.
Техника эксплуатации хранимой XSS атаки заключается в размещении на страницах сайта атакующего скрипта, и его автоматического выполнения в браузере жертвы. Для реализации этого типа XSS атаки не требуется никаких действий со стороны жертвы, в большинстве случаев достаточно только посещения самого сайта. Такие атаки называют вторым типом XSS.

ПРИМЕР ХРАНИМОЙ ИЛИ ПАССИВНОЙ XSS АТАКИ:

<img src='http://...' onmouseover="javascript:XSS()">
<input type='text' value='Введите пароль' onfocus='XSS()'>


Безвредные XSS атаки

Практически любой счетчик посещений сайта или аналитический инструмент по типу Google Analytic является XSS атакой, собирая данные о посетителях.
Кроссдоменные AJAX запросы также можно отнести к безвредным XSS атакам.


Защита от XSS атак

Фильтрация параметров входных данных, передаваемых GET, POST, COOKIE
Кодирование входных данных
Экранирование спецсимволов HTML



Сканер уязвимостей сайтов онлайн Проверьте, наколько устойчив к взлому Ваш сайт