Как предотвратить XSS/ межсайтовый скриптинг и устранить пробелы в безопасности

Межсайтовый скриптинг (сокращенно XSS) — это эксплуатация брешей в безопасности веб-приложений. Вредоносные скрипты внедряются в доверенный контекст, где они затем могут атаковать систему пользователя. Сценарии — это программы на языках сценариев, таких как JavaScript, которые выполняются в интернет-браузере. Вредные варианты включают, например, всплывающее приветствие. В худшем случае злоумышленники могут получить доступ к конфиденциальной информации или получить доступ к компьютеру ничего не подозревающего пользователя.

Опасность межсайтового скриптинга возникает, когда соответствующее веб-приложение передает данные пользователя в веб-браузер без их проверки. Таким образом вредоносные скрипты попадают на пораженные клиенты. Попав туда, проникшие приложения манипулируют скриптами на стороне сервера, такими как формы регистрации пользователей. С точки зрения пользователя, процесс регистрации выглядит зашифрованным и анонимным, но на самом деле данные передаются без фильтрации.

Не все XSS-атаки направлены на кражу конфиденциальных данных или причинение прямого вреда пострадавшему клиенту. Не менее распространены скрипты, которые используют клиента в качестве инициатора фишинговых и вредоносных атак или изменяют содержимое сайта в негативном ключе. Фактические злоумышленники обычно остаются анонимными.

Чтобы продемонстрировать, что означает межсайтовый скриптинг для операторов и посетителей сайта, ниже приводится краткий список и объяснение различных типов XSS:

Отраженный межсайтовый скриптинг/XSS

Вредоносный скрипт отправляется на веб-сервер при вызове манипулируемого URL или отправке подготовленной формы. Затем сценарий отправляется обратно клиенту без проверки. Вредоносный код не сохраняется на сервере и существует только временно, когда веб-сайт создается пострадавшим клиентом. Излюбленными целями являются динамические веб-сайты или приложения электронной почты.

Пример: В этом варианте XSS злоумышленник помещает свой скрипт в подготовленную ссылку. После подключения злоумышленник пытается переслать ссылку, предпочтительно по электронной почте. Полученный вредоносный код активируется только тогда, когда пользователь открывает полученную ссылку. Когда это происходит, пользователь получает экран входа в систему, идентичный экрану онлайн-банка. Вместо того чтобы отправить введенные данные в банк, скрипт делает так, чтобы они попали на адрес, который злоумышленник определил ранее.

Постоянный межсайтовый скриптинг/XSS

Постоянный или неизменный XSS — это когда вредоносные скрипты сохраняются на веб-сервере и передаются через клиента при каждом информационном запросе. Для атак выбираются веб-приложения, которые сохраняют данные пользователя на сервере и распространяют их без проверки или кодирования. Блоги и форумы особенно восприимчивы к таким видам скриптинга.

Пример: Сообщения форума сохраняются в базе данных — часто без надлежащей проверки. Злоумышленники могут воспользоваться этой возможностью и добавить свой вредоносный скрипт в совершенно обычное сообщение форума. Пользователи получают ссылку на соответствующее сообщение по электронной почте или случайно натыкаются на него и неосознанно активируют скрипт, нажав на ссылку.

Межсайтовый скриптинг/XSS на основе DOM

Этот тип атаки также известен как локальный XSS. Когда вызывается манипулируемый URL, вредоносный код выполняется через дыру в сценарии на стороне клиента без проверки. В отличие от постоянного и отраженного XSS, веб-сервер не участвует в процессе. Статические веб-сайты, которые поддерживают этот конкретный язык сценариев, также подвержены риску этого типа скриптинга.

Пример: DOM-based XSS (как и отраженный межсайтовый скриптинг) требует от пользователя открыть ссылку. После открытия ссылки сценарий считывает значение аргумента URL на сайте и выполняет полученный код сценария. Это может привести, например, к краже файлов cookie сессии.

Не стоит недооценивать негативные последствия межсайтового скриптинга для пользователей и операторов веб-сайтов. Пользователи рискуют потерять свои данные или нечаянно стать сообщниками злоумышленника. Как владелец веб-сайта, вы несете ответственность за данные своих клиентов и можете непосредственно пострадать от атаки. Вредный контент и сбои в работе сервера снижают количество посетителей и могут привести к штрафным санкциям со стороны поисковых систем, таких как Google, а также к потере доверия со стороны потенциальных клиентов. Это может привести к финансовым потерям. Поэтому вам, как оператору сайта, следует обязательно ввести меры по предотвращению межсайтового скриптинга.

Меры безопасности для пользователей Интернета

Самый простой способ предотвратить межсайтовый скриптинг с клиента — отключить поддержку JavaScript в браузере. Если JavaScript деактивирован, то XSS на основе DOM, который нацелен на JavaScript, не имеет никакого эффекта, поскольку вредоносное приложение даже не может быть запущено. В некоторых браузерах можно использовать дополнения, защищающие от XSS-атак; например, в Mozilla Firefox есть расширение NoScript. В стандартных настройках все активное содержимое сайта, например, JavaScript, Java-Applet, Adobe Flash или Microsoft Silverlight, автоматически отключается. Вы можете временно снять блокировку или внести сайт в белый список, если вы полностью уверены, что этому сайту можно доверять. И последний совет, которому следует следовать всегда, а не только когда речь идет об опасности межсайтового скриптинга, — всегда опасайтесь внешних данных и тщательно изучайте их, прежде чем нажимать на них.

Что должен делать оператор веб-сайта для предотвращения XSS-атак?

Чтобы ваше веб-приложение не было уязвимо для XSS-атак, вы должны рассматривать все получаемые входные значения как небезопасные. Прежде чем они будут получены веб-сервером, они должны быть соответствующим образом проверены. Наиболее безопасным методом является создание белого списка, подобно расширению NoScript для клиентов. Пока возможности позволяют, вы должны сканировать вводимые данные на своем сайте и разрешать только доверенное содержимое. Таким образом вы создадите отличную защиту от межсайтового скриптинга.

В дополнение к входным данным, выходные данные также должны быть защищены. По этой причине метасимволы HTML необходимо заменить соответствующими ссылками на символы. В результате метаданные классифицируются как обычные символы, и потенциально внедренные сценарии не могут запуститься. Большинство языков программирования и сценариев, таких как Perl, JavaScript или PHP, уже имеют предопределенные функции для замены или маскировки символов, которые можно оперативно использовать. Кроме того, от простых XSS-атак можно защититься с помощью брандмауэра веб-приложений.

Межсайтовый скриптинг часто приводит в движение шестеренки для более серьезных атак. Вы можете пресечь их попытки, обеспечив надежную защиту внутренних и внешних потоков данных вашего веб-сервера.

Хотите сделать свой сайт более безопасным? Узнайте больше о SSL-сертификатах от IONOS и о том, как они повышают надежность вашего сайта.