Hvað er kross-síðuforskrift?

Einn algengasti flokkurinn af varnarleysi á vefsíðum er kallaður „Cross-Site Scripting“ eða „XSS“. XSS veikleikar eru þar sem það er mögulegt fyrir notanda að valda því að JavaScript sé keyrt. Það eru til nokkur mismunandi afbrigði af XSS varnarleysi, með mismunandi alvarleika.

Vandamálið við að árásarmaður geti keyrt JavaScript í fundum annarra notenda er að það er þá mögulegt fyrir árásarmanninn að gera hvað sem er við vefsíðuna sem fórnarlömbin sjá. Þetta felur í sér að beina fórnarlömbum á ytri vefsíður, stela auðkenningartáknum og fylgjast með greiðsluupplýsingum.

Alvarlegasta tegund XSS varnarleysis er „geymd“ eða „viðvarandi“ forskriftarritun á milli vefsvæða, þetta er þar sem árásarmaður getur búið til XSS-hleðslu og senda það síðan, svo það er vistað í gagnagrunninum. Með XSS hagnýtingu vistuð í gagnagrunninum er það síðan mögulegt fyrir það að hafa áhrif á aðra notendur yfir breitt tímabil.

Önnur tegund Cross-Site Scripting er „Reflected“, þessi tegund er ekki vistuð á neinum tímapunkti, heldur er farmurinn innifalinn í vafranum. Venjulega er þessi tegund af XSS hluti af vefveiðarárásum, þar sem árásarmaður reynir að plata fórnarlamb til að smella á skaðlegan hlekk.

Almennt séð hafa flestar XSS árásir farmið sent á netþjóninn á einhverjum tímapunkti, en sumar árásir eru eingöngu viðskiptavinarhliðar, eru aldrei sendar á netþjóninn og hafa í staðinn aðeins áhrif á JavaScript viðskiptavinarhlið. Þetta er kallað DOM-undirstaða XSS þar sem það er áfram í JavaScript Document Object Model, eða DOM. Þessa tegund af varnarleysi er sérstaklega erfitt að bera kennsl á og leysa þar sem hetjudáðirnar sjást aldrei af þjóninum og því er ekki hægt að skrá hana.

Sögulega er forvarnartæknin gegn XSS varnarleysi að sía öll gögn sem notandi hefur sent inn, með því að nota blokkunarlista til að hafna öllum skilaboðum með þýðingarmiklum stöfum eða orðum í JavaScript. Þetta hafði tilhneigingu til að leiða til vígbúnaðarkapphlaups um að finna framhjáleiðir fyrir síuna á sama tíma og það kom í veg fyrir nokkrar lögmætar notendasendingar. Rétta lausnin er að nota HTML einingar til að umrita gögn sem notandi hefur sent inn. með HTML einingum virkar, stafir eru sjálfkrafa kóðaðir í snið þar sem vafrinn veit að sýna þá sem rétt tákn en ekki að meðhöndla þá sem kóða.