Definicja XSS
Cross-Site Scripting (XSS) to podatność aplikacji webowej polegająca na tym, że użytkownik może wstrzyknąć złośliwy kod (najczęściej JavaScript), który następnie zostanie wykonany w przeglądarce innego użytkownika. Skrypt ten działa w kontekście zaufanej strony i może wykradać dane, przejmować sesje lub manipulować interfejsem.
Typy ataków XSS
| Rodzaj XSS | Charakterystyka | Przykład zastosowania |
|---|---|---|
| Stored XSS | Złośliwy skrypt zapisany w bazie danych i wyświetlany innym | Komentarze w blogu wyświetlające JS innym |
| Reflected XSS | Skrypt przesyłany w URL lub formularzu i natychmiast odsyłany | Link phishingowy z payloadem w parametrze URL |
| DOM-based XSS | Manipulacja DOM-em po stronie klienta bez udziału serwera | JS operujący na location.hash lub document.write |
Skutki ataków XSS
- Kradzież ciasteczek sesyjnych - umożliwia przejęcie konta.
- Fałszywe formularze - phishing w obrębie zaufanej domeny.
- Modyfikacja treści strony - wprowadzenie fałszywych informacji lub elementów.
- Zdalne wykonanie poleceń - w połączeniu z podatnościami przeglądarki.
Mechanizmy ochrony przed XSS
- Escapowanie danych wyjściowych - konwersja znaków specjalnych (np.
<,>,"). - Walidacja danych wejściowych - odrzucanie niedozwolonych znaków i struktur.
- Content Security Policy (CSP) - ograniczenie źródeł z których można ładować skrypty.
- HttpOnly i Secure cookies - utrudnienie kradzieży sesji.
- Ramki i sandboxing - izolowanie komponentów dynamicznych.
Wykrywanie i testowanie XSS
- Narzędzia DAST (np. ZAP, Burp Suite) do automatycznej analizy dynamicznej.
- Manualne payloady do testów ręcznych (
<script>alert('XSS')</script>). - Wykorzystanie polityk CSP violation reporting.
- Integracja z CI/CD - testy podatności w pipeline devopsowym.
Powiązania z innymi pojęciami
- CVE - konkretne przypadki XSS mają przypisane identyfikatory CVE.
- Pentest - testy penetracyjne regularnie wykrywają XSS w aplikacjach webowych.
- SIEM / SOC - systemy rejestrują nietypowe ruchy w aplikacjach narażonych na XSS.
- OWASP Top 10 - XSS regularnie klasyfikowany jako jedna z głównych podatności.
Przykład ataku XSS (reflected)
<a href="https://example.com/search?q=<script>alert('XSS')</script>">Kliknij</a>