Πίνακας περιεχομένων:
Ορισμός - Τι σημαίνει η τρύπα XSS;
Μια τρύπα XSS είναι μια εφαρμογή Web που μετατρέπει δυναμικό περιεχόμενο σε χρήστες με ευπάθεια ασφαλείας υπολογιστή. Αυτή η εφαρμογή είναι δέσμη ενεργειών μεταξύ ιστότοπων (XSS) και επιτρέπει σε έναν εισβολέα να εκμεταλλευτεί τα εμπιστευτικά δεδομένα ενός χρήστη χωρίς να μεταβιβάσει έναν μηχανισμό ελέγχου πρόσβασης, όπως μια πολιτική ίδιας προέλευσης. Αυτό το ελάττωμα είναι πιο κατάλληλα γνωστό ως τρύπα XSS.
Η Techopedia εξηγεί το XSS Hole
Για παράδειγμα, ο χρήστης μπορεί να συναντήσει μια υπερ-σύνδεση σε μια εφαρμογή Web που δείχνει σε κάποιο κακόβουλο περιεχόμενο. Ο χρήστης μπορεί να κάνει κλικ στον σύνδεσμο και να οδηγηθεί σε μια άλλη σελίδα που περιέχει κάποιο δελτίο ή μήνυμα ηλεκτρονικού ταχυδρομείου. Αυτή η σελίδα συγκεντρώνει πληροφορίες χρήστη με τη μορφή κωδικού πρόσβασης. Δημιουργεί επίσης μια κακόβουλη σελίδα εξόδου που δείχνει κάποια ψεύτικη απόκριση προσαρμοσμένη ώστε να εμφανίζεται ως γνήσια για τον χρήστη. Είτε τα δεδομένα που εισάγονται από τον χρήστη μπορούν να χρησιμοποιηθούν κατά λάθος είτε η χρήση του χρήστη από την κλοπή cookie. Με βάση την ευαισθησία των συλλεγόμενων δεδομένων, η διαδικτυακή δέσμη ενεργειών μπορεί να κυμαίνεται από μια απλή ευπάθεια σε ένα σοβαρό κενό ασφαλείας. Μετά την εκμετάλλευση του ευπάθειας XSS, ο επιτιθέμενος μπορεί να παρακάμψει τις πολιτικές ελέγχου της πρόσβασης του οργανισμού.
Η έννοια του cross-site scripting βασίζεται στην ίδια πρωτότυπη πολιτική. Οι ίδιες αρχικές πολιτικές δηλώνουν ότι ένα πρόγραμμα περιήγησης στο Web που χρησιμοποιεί JavaScript μπορεί να έχει πρόσβαση σε διαφορετικές ιδιότητες και μεθόδους που ανήκουν στον ίδιο ιστότοπο χωρίς περιορισμούς. Οι κακόβουλοι επιτιθέμενοι μπορούν να εκμεταλλευτούν την έννοια της ίδιας αρχικής πολιτικής εισάγοντας κακόβουλο κώδικα σε έναν ιστότοπο χρησιμοποιώντας JavaScript. Όταν οι ιστοσελίδες προβάλλονται από χρήστες, οι εισβολείς ενδέχεται να συγκεντρώσουν χρήσιμες πληροφορίες χρήστη, όπως όνομα χρήστη ή κωδικό πρόσβασης.
Όπως προκύπτει από τα στατιστικά στοιχεία που συγκέντρωσε η Symantec το 2007, η δέσμη ενεργειών μεταξύ ιστοτόπων αντιπροσωπεύει το 80% όλων των επιθέσεων ασφαλείας που εκτελούνται με χρήση υπολογιστών. Υπάρχουν τρεις τύποι scripting μεταξύ ιστοτόπων:
- Non-persistent XSS: Ο μη επίμονος τύπος δέσμης ενεργειών μεταξύ ιστοτόπων εμφανίζεται κατά τις αιτήσεις HTTP στις οποίες ο πελάτης ενσωματώνει τα δεδομένα σε ένα αίτημα HTTP. Όταν ο διακομιστής χρησιμοποιεί δεδομένα που αποστέλλονται από τον πελάτη για τη δημιουργία σελίδων, οι οπές XSS μπορούν να είναι ενεργές εάν η αίτηση δεν έχει απολυμανθεί σωστά. Οι σελίδες HTML αποτελούνται από περιεχόμενο και παρουσίαση. Εάν ο κακόβουλος χρήστης προσθέσει κάποιο περιεχόμενο που δεν έχει επικυρωθεί, τότε πραγματοποιείται ένεση σήμανσης. Ο χρήστης θα θέσει σε κίνδυνο την ασφάλειά του εισάγοντας πληροφορίες που ζητούνται από τον κακόβουλο κώδικα. Ο εισβολέας μπορεί να παραπλανήσει τον χρήστη σε μια διαφορετική διεύθυνση URL, η οποία μπορεί να περιέχει πιο εξελιγμένο ιό και να αποκτά σημαντικές πληροφορίες για τον χρήστη.
- Συνεχές XSS: Το κακόβουλο περιεχόμενο που εισάγεται από τον εισβολέα αποθηκεύεται στην πλευρά του διακομιστή και όλες οι άλλες αιτήσεις πελατών αποκτούν πρόσβαση στο τροποποιημένο περιεχόμενο, δημιουργώντας έτσι σοβαρό κίνδυνο για την ασφάλεια. Για παράδειγμα, ορισμένα φόρουμ επιτρέπουν στο χρήστη να δημοσιεύει μηνύματα μορφοποιημένα με HTML. Επομένως, ένας εισβολέας μπορεί να ενσωματώσει έναν κώδικα JavaScript για να παρουσιάσει ένα κακόβουλο πλαίσιο κειμένου για τη συλλογή πληροφοριών, όπως κωδικό πρόσβασης. Ο εισβολέας μπορεί επίσης να διαμορφώσει τον κώδικα JavaScript για να αποθηκεύσει και να μεταδώσει κάθε κωδικό που έχει εισαχθεί στο πεδίο κειμένου.
- DOM Βασισμένο XSS: Το μοντέλο αντικειμένου εγγράφου (DOM) είναι μια δομή δέντρου που αντιπροσωπεύει όλες τις ετικέτες που εμφανίζονται σε ένα έγγραφο που συμμορφώνεται με τα πρότυπα XML. Το DOM χρησιμοποιείται στο JavaScript για την πρόσβαση και τον χειρισμό των ετικετών HTML και του περιεχομένου μέσα στις ετικέτες. Ένας εισβολέας μπορεί να εισάγει ένα κακόβουλο κομμάτι κώδικα JavaScript που περιέχει τις κατάλληλες καταστάσεις DOM για να αποκτήσει πρόσβαση και να τροποποιήσει σημαντικές πληροφορίες χρηστών. Για παράδειγμα, ο εισβολέας μπορεί να χρησιμοποιήσει το DOM για να ανακατευθύνει τις πληροφορίες χρήστη με ακατάλληλη υποβολή σε κακόβουλο ιστότοπο τρίτου μέρους.
