XSS

Міжсайтовий скриптінг (XSS) це тип уразливість, що дозволяє зловмисникові впровадити шкідливий код на веб-сайт або веб-додаток. Цей код виконується веб-браузером жертви, дозволяючи зловмиснику вкрасти особисту інформацію, таку як реєстраційні дані для входу, або виконувати дії від імені жертви. Існує три типи XSS:

• Збережені XSS: Цей тип XSS виникає, коли шкідливий код зберігається на цільовому сервері, наприклад, у базі даних. Коли жертва отримує збережені дані, шкідливий код запускається її браузером.

• Відбитий XSS: Цей тип XSS виникає, коли шкідливий код включається в URL-адресу і відбивається назад в браузері жертви. Браузер жертви виконує код, що дозволяє зловмиснику виконувати дії від імені жертви.

• XSS на основі DOM: Цей тип XSS виникає, коли шкідливий код впроваджується в об'єктну модель документа (DOM) браузера жертви, а не доставляється через сервер. Це може статися, коли веб-сайт або веб-додаток неправильно очищають дані, що вводяться користувачем.

Приклади:

• Зловмисник впроваджує шкідливий скрипт в рядок пошуку веб-сайту, який потім зберігається в базі даних веб-сайту. Коли жертва шукає термін, шкідливий скрипт запускається її браузером, дозволяючи зловмиснику вкрасти їх облікові дані для входу.

• Зловмисник включає шкідливий скрипт в URL-адресу і заманює жертву, змушуючи її натиснути на нього. Сценарій відбивається назад в браузері жертви і виконується, дозволяючи зловмиснику виконувати дії від імені жертви.

• Веб-додаток неправильно очищає дані, що вводяться користувачем, що дозволяє зловмисникові впровадити шкідливий код в DOM браузера жертви. Це може дозволити зловмиснику вкрасти конфіденційну інформацію або виконати дії від імені жертви.

У деяких випадках XSS уразливості можуть використовуватися для підвищення привілеїв, дозволяючи зловмиснику отримати доступ до обмежених областях веб-сайту або веб-додатки. Це можна зробити, використовуючи обліковий запис жертви для виконання дій, які зазвичай вимагають більш високих привілеїв, або використовуючи XSS уразливість для встановлення шкідливого ПЗ на пристрій жертви, яке надає зловмиснику більш високі привілеї.

Ось кілька прикладів уразливого коду на різних мовах програмування:

JavaScript

function displayMessage(message) {
document.getElementById(“message”).innerHTML = message;
}

Якщо зловмисник може передати шкідливе значення для message параметр, вони потенційно можуть виконувати довільний код JavaScript на сторінці. Наприклад, якщо зловмисник передає наступну рядок в якості повідомлення:

“; alert("ХСС!"); //

Результуючий код буде виглядати наступним чином:

function displayMessage(message) {
document.getElementById(“message”).innerHTML = “”; alert(“XSS!”); //”;

Який виконає вікно попередження з повідомленням "XSS!" при виклику функції.

PHP

$username = $_POST[‘username’];
echo “Welcome, $username“;

Якщо зловмисник відправляє наступне значення для username параметр:

‘; <script>alert(“XSS!”);</script>

Результуючий код буде виглядати наступним чином:

$username = ”; <script>alert(“XSS!”);</script>‘;
echo “Welcome, $username”;

Який буде видавати вікно попередження з повідомленням "XSS!" при завантаженні сторінки.

Java

String username = request.getParameter(“username”);
out.println(“Welcome, “ + username);

Якщо зловмисник відправляє наступне значення для username параметр:

“><script>alert(“ХСС!“);</script>

Результуючий код буде виглядати наступним чином:

String username = request.getParameter(“username”);
out.println(“Welcome, “ + “><script>alert(“XSS!“);</script>“);

Який буде видавати вікно попередження з повідомленням "XSS!" при завантаженні сторінки.

Важливо відзначити, що це всього лише кілька прикладів, і існує безліч інших способів виникнення XSS уразливостей. Для захисту від XSS-атак важливо правильно очищати enter, екранувати висновок і використовувати відповідні HTTP-заголовки, щоб знизити ризик XSS-атак.

Методологія тестування:

1. Визначте всі поля введення на веб-сайті або у веб-додатку, включаючи форми, рядки пошуку і параметри URL.
2. Спробуйте впровадити шкідливий код в кожне поле вводу. Це може включати теги HTML, JavaScript і інші типи коду.
3. Якщо введений код відбивається назад в браузері і виконується, веб-сайт або веб-додаток уразливі для XSS.
4. Повторіть процес тестування для всіх полів введення, щоб переконатися, що всі потенційні уразливості були виявлені.

Інструменти, які можна використовувати для тестування і використання XSS уразливостей:

• Burp Suite: Інструментарій для тестування безпеки веб-додатків, який можна використовувати для перевірки XSS уразливостей.

• XSSer: Інструмент з відкритим вихідним кодом для тестування і використання XSS уразливостей.

• XSStrike: Інструмент на основі Python для виявлення і використання XSS уразливостей.

• BeEF: Інструмент, який дозволяє зловмисникові керувати браузером жертви з допомогою XSS уразливості.