Cross-Site Scripting (XSS)

27. januar 2021 | Cybrary

Cross-Site Scripting (XSS) er en angrepsvektor der hackere injiserer ondsinnet kode i en sårbar webapplikasjon. XSS skiller seg fra andre webangrepsvektorer ved at den ikke er direkte rettet mot selve applikasjonen; i stedet er brukerne av webapplikasjonen de som er i faresonen. Sårbarheter med Cross-Site Scripting lar vanligvis angripere utgi seg for å være offerbrukere, utføre alle handlinger som brukeren er i stand til å utføre og få tilgang til brukerens data. Hvis brukeren har privilegert (administrator) tilgang i applikasjonen, kan angriperen være i stand til å få full kontroll over all systemets funksjonalitet og data. Dette vil føre til at de fleste, om ikke alle, brukerkontoer blir kompromittert. Trojansk hest -skadevare kan også aktiveres og sideinnhold endres, noe som lur brukere til frivillig å gi ut sine private data. Videre kan øktinformasjonskapsler avsløres, slik at hackeren kan imitere autentiske brukere og utnytte deres private kontoer.

Kilde: Imperva , PortSwigger

Tilleggslesning: Hva er et XSS-angrep? – FedTech Magazine

Relaterte begreper: Forfalskning av forespørsler på tvers av nettsteder (CSRF)

Hva betyr dette for en SMB?

Hvis din SMB ikke utvikler din egen programvare eller driver med koding, trenger du ikke å bekymre deg for XSS annet enn å vite at det eksisterer. Men hvis du driver med utvikling, les videre.

Det er vanskelig i noen tilfeller å forhindre skripting på tvers av nettsteder, og det kan være mer komplekst avhengig av applikasjonens design og hvordan det håndterer brukerkontrollerbare data. Generelt sett vil effektiv forebygging av XSS-sårbarheter sannsynligvis innebære en kombinasjon av følgende tiltak, som er listet opp nedenfor. Hvis organisasjonen din har IT-ansatte eller ansetter en tredjepart for å støtte systemene dine, bør du samarbeide med dem for å forbedre sikkerheten ved å implementere disse tiltakene for å forsvare deg mot XSS-angrep:

Filtrer inndata ved ankomst. Når brukerinndata mottas, filtrer så strengt som mulig basert på hva som er forventet eller gyldig inndata.
Kod data på utdata. På det punktet der brukerkontrollerbare data sendes ut i HTTP-svar, må utdataene kodes for å forhindre at de tolkes som aktivt innhold. Avhengig av utdatakonteksten kan dette kreve bruk av kombinasjoner av HTML-, URL-, JavaScript- og CSS-koding.
Bruk passende svaroverskrifter. For å forhindre XSS i HTTP-svar som ikke er ment å inneholde HTML eller JavaScript, kan du bruke Content-Type og X-Content-Type-Options overskrifter for å sikre at nettlesere tolker svarene slik du har tenkt.
Innholdssikkerhetspolicy. Som en siste forsvarslinje kan du bruke Content Security Policy (CSP) for å redusere alvorlighetsgraden av eventuelle XSS-sårbarheter som fortsatt oppstår.