Innehållsförteckning
Vad är XSS (Cross-site Scripting)? – Definition, typer och mer
Vad är XSS?
XSS (Cross-site Scripting) är en kodinjektionsattack som tillåter en angripare att köra ett skadligt skript i en dynamisk webbapplikation.
De attacker syftar till att koden (även kallat skript) för en webbsida som körs i användarens webbläsare, inte på webbplatsens server. När det sker en attack mot användarna, introduceras skadliga skript i din webbläsare som kommer att försöka skada din dator.
Mångfalden av XSS-attacker är praktiskt taget obegränsad, men det vanligaste är vanligtvis insamling av personuppgifter, omdirigering av offer till webbplatser som kontrolleras av hackare eller deras kontroll av utrustningen.
Läs också: Vad är GISP-certifiering? – Definition, steg för åtkomst och mer
- Hur sker cross-site scripting-attacker?
- Webbplatser sparar data och skickar information till din webbläsare kontinuerligt. XSS-attacker inträffar när otillförlitliga källor skickar skadligt innehåll till användarnas webbläsare genom sårbarheter på webbplatsen.
- I en XSS-attack kan den mottagna informationen innehålla skadlig programvara som kan stjäla din data. Eftersom praktiskt taget alla webbplatser behöver spara och skicka data till webbläsare är XSS det vanligaste säkerhetsbrottet i mjukvara idag.
Detta skadliga innehåll kan sedan stjäla data från din dator eller skada ditt system. Till exempel: när en användare söker något online skickar webbplatsen information till webbläsaren i form av sökresultat.
Hur förhindrar man XSS?
Eftersom XSS-attacker inträffar på grund av kodinjektioner är det nödvändigt att hantera informationsposterna som applikationen kommer att använda korrekt. Alla indataparametrar måste valideras korrekt och filtreras enligt olika kriterier. Behandlingen av dessa uppgifter kan vara:
Acceptera alla typer av data, men escape dem på rätt sätt.
Städa upp:
Acceptera alla typer av data, men ta bort olämpligt innehåll.
Förvandla:
Acceptera alla typer av data, men omvandla dem till en accepterad typ av data.
XSS återspeglas:
Vi måste förstå skillnaden mellan dessa olika metoder eftersom de måste anpassas till applikationens funktion.
Till exempel, om vi har e en rich text editor, genom vilken användaren tillåts manipulera HTML-kod. I det här fallet bör vi inte välja alternativet att escape tecknen eftersom webbläsaren inte kommer att tolka den när informationen visas och den kommer att visa den som text.
Typer
Det finns huvudsakligen tre typer av XSS, och de är katalogiserade efter hur de fungerar:
en angripare skickar en länk som omdirigerar till webbplatsen som påverkas av sårbarheten. Den här länken innehåller den inbäddade koden som kommer att köras när offret öppnar länken.
Peristent XSS: En angripare infogar ett skript som finns kvar på webbplatsen och varje gång en användare besöker webbplatsen. Han kommer att köra koden i sin webbläsare.
Läs också: Vad är digital vattenmärkning? – Definition, funktioner och mer