Межсайтовый скриптинг (XSS) — это уязвимость безопасности, которая позволяет злоумышленнику внедрить вредоносный скрипт на веб-страницу, которую просматривают другие пользователи. Эти скрипты могут выполнять любые действия от имени пользователя, включая кражу куки, изменение интерфейса сайта или перенаправление на другие страницы.

Как работает XSS?

XSS-атаки обычно происходят, когда веб-приложение выводит пользовательские данные без надлежащей фильтрации или экранирования. Злоумышленник может отправить специальный код, который затем будет выполнен в браузере жертвы.

Например, представьте, что веб-сайт отображает комментарии пользователей без фильтрации. Если злоумышленник оставляет комментарий с JavaScript-кодом, который выполняет вредоносные действия, этот код будет выполнен в браузере других пользователей, когда они посмотрят комментарии.

<!-- Пример уязвимого кода -->
<div class="comments">
    <script>alert('Ваши данные были украдены!');</script>
</div>

Типы XSS

Отраженный XSS (Reflected XSS): Код передается через URL-запрос и выполняется немедленно.

Храненый XSS (Stored XSS): Код сохраняется на сервере (например, в базе данных) и выполняется при доступе к странице.

DOM-based XSS: Скрипт изменяет Document Object Model (DOM) на стороне клиента.

Как предотвратить XSS?

Экранирование данных: Все пользовательские данные должны быть экранированы перед их выводом на страницу. Это предотвращает выполнение скриптов.
Пример на JavaScript:

function escapeHtml(unsafe) {
    return unsafe
        .replace(/&/g, "&amp;")
        .replace(/</g, "&lt;")
        .replace(/>/g, "&gt;")
        .replace(/"/g, "&quot;")
        .replace(/'/g, "&#039;");
}

const userComment = '<script>alert("XSS")</script>';
const safeComment = escapeHtml(userComment);
document.getElementById('comments').innerHTML = safeComment;

Использование Content Security Policy (CSP): Это заголовок HTTP, который помогает предотвратить выполнение нежелательного скрипта. CSP ограничивает источники, с которых могут загружаться скрипты.
Пример заголовка CSP:

Content-Security-Policy: default-src 'self'; script-src 'self' https://trustedscripts.example.com

Утверждение и проверка данных на сервере: Параметры должны проверяться на сервере, чтобы предотвратить вставку вредоносного контента. Используйте модели данных и ORM (Object-Relational Mapping) для безопасной работы с базами данных.

Избегайте прямого использования innerHTML: Используйте методы, как textContent или setAttribute, чтобы вставлять данные, не подвергаясь риску XSS.

const userComment = '<script>alert("XSS")</script>';
const commentElement = document.createElement('div');
commentElement.textContent = userComment; // Безопасно
document.getElementById('comments').appendChild(commentElement);

Заключение

Понимание межсайтового скриптинга (XSS) и методов его предотвращения — важная часть работы веб-разработчика. Применяя приведенные методы и техники, вы можете создать более безопасные веб-приложения и защитить своих пользователей от потенциальных атак.

Предыдущий вопрос

Опишите разницу между cookie, sessionStorage и localStorage в браузерах

Следующий вопрос

Объясните концепцию подделки межсайтовых запросов (CSRF) и методы её защиты

Содержание:

Что такое XSS?

Как работает XSS?

Типы XSS

Как предотвратить XSS?

Заключение

Редактировать