Cross-site scripting

Z Multimediaexpo.cz

Nemáte oprávnění „upravit tuto stránku“. Důvod:

Můžete si prohlédnout a zkopírovat zdrojový kód této stránky:

'''Cross-site scripting (XSS)''' je metoda narušení [[World Wide Web|WWW]] stránek využitím bezpečnostních chyb ve [[Skriptovací jazyk|skriptech]] (především neošetřené vstupy). Útočník díky těmto chybám v zabezpečení webové aplikace dokáže do stránek podstrčit svůj vlastní [[JavaScript|javascriptový]] kód, což může využít buď pouze k poškození vzhledu stránky, jejímu znefunkčnění, získávání citlivých údajů návštěvníků stránek nebo obcházení bezpečnostních prvků aplikace. Často je též využíván při [[phishing]]u tak, že je skrze XSS zranitelnosti uživateli ukázán jiný obsah na jinak důvěryhodné stránce. == Ukázky útoku == === Typ 1 === Většinou se označuje jako '''lokální''' nebo '''DOM based.''' Lze ji využít i na statických stránkách a jde o neošetřené přenesení proměnné z [[Uniform Resource Locator|URL]] adresy do [[javascript]]u. Pro ilustraci si představme že máme html stránku s následujícím kódem: <SCRIPT> var pos=document.URL.indexOf("jmeno=")+6; document.write("Ahoj "+document.URL.substring(pos,document.URL.length)); </SCRIPT> a na stránku vstoupíme přes standardní odkaz http://[[Uniform Resource Locator|URL]]/stranka.html?jmeno=Alice stránka standardně vypíše pouze „Ahoj Alice“. Útočník však může odkaz pozměnit na http://[[Uniform Resource Locator|URL]]/stranka.html?jmeno=<script>alert('Toto je úspěšný XSS útok.');</script> a tím vykoná zákeřný kód. Tento vektor útoku (stejně jako u typu 2) stojí a padá na přístupu přes upravenou url a většinou je takto i snadno odhalitelný pomocí prosté logiky. Pokud na stránku přijdete přes normální odkaz, tak se zachová tak jak má. === Typ 2 === Označuje se jako '''non-persistent''' nebo '''reflected'''. Je postaven na úpravě části URL která se interpretuje do stránky jako její součást, například jako nadpis. Pokud do URL adresy přidáme svůj kód který není před interpretací upraven, tak se stránka v prohlížeči zachová, jako by námi vložený kód byl její součástí. Tato zranitelnost se týká především stránek s generovaným obsahem, pro příklad používáme [[php]] a někde ve zdrojovém kódu máme <div> <?php echo $_GET['nadpis']; ?> </div> stačí uživateli podstrčit adresu upravenou například takto: http://[[Uniform Resource Locator|URL]]/stranka.php?nadpis=cokoliv<script>alert('Toto je úspěšný XSS útok.');</script> === Typ 3 === Je označován jako '''persistent''', '''stored''' nebo '''second-order '''protože dojde k přímé a trvalé modifikaci obsahu stránky. Jde o často využívanou možnost, protože na takto napadené stránky nemusíte vstoupit přes upravený odkaz. Vzniká pokud je obsah stránky generován z [[databáze]]. Náš javascript jednoduše vložíme třeba jako součást komentáře - spolu s ním se uloží do databáze a je následně zobrazen všem lidem, kteří si takovýto komentář zobrazí. Ahoj, super <script>alert('Toto je úspěšný XSS útok.')</script>stránky! == Obrana == === Na straně serveru === * Při vkládání dat od uživatele do HTML stránky odfiltrovat „nebezpečné“ znaky z uživatelského vstupu resp. je převést na příslušné [[HyperText Markup Language|HTML]] entity ( <code>&lt;</code> za <code>&amp;lt;</code>, <code>&gt;</code> za <code>&amp;gt;</code> atd.), na což lze použít ad hoc funkce (např. v jazyce [[PHP]] je to funkce [http://php.net/manual/en/function.htmlspecialchars.php htmlspecialchars]). * Pokud se jedná sice o textové parametry, ale z omezené množiny hodnot, lze zvážit indexace této množiny a přenášení pouze číselného indexu, který lze před výstupem (podle možností daného skriptovacího jazyka) implicitně přetypovávat na celé číslo. ==== Účinný příklad obrany v jazyce PHP ==== Pokud na stránce využíváme mnoho vstupních parametrů (superglobálních proměnných: $_POST, $_GET, ..), můžeme je ošetřit najednou pomocí následujícího skriptu: <source lang="php"> /* Ošetření vstupních superglobálních proměnných */ function htmlspecialcharsRecursive(&$val) { /* Funkce pro rekurzivní ošetření hodnot i klíčů metodou htmlspecialchars *&$val reference na hodnotu */ if(is_array($val)) { //zjistí zda $val je pole $keys = array_keys($val); //načte všechny klíče tohoto pole foreach($keys As $key) { //projde celé pole $value = htmlspecialcharsRecursive($val[$key]); //pokračuje v rekurzi unset($val[$key]); //smaže původní klíč $val[htmlspecialchars($key)] = $value; //vytvoří prvek s ošetřeným klíčem i hodnotou v původním poli } } else $val = htmlspecialchars($val); //pokud $val není pole pouze ošetří hodnotu return $val; // vrací $val, nutné pro rekurzi } function fixSuperglobals() { /* Ošetří superglobální proměnné proti XSS */ $superglobals = array(&$_GET, &$_POST, &$_COOKIE, &$_REQUEST); //pole vstupních superglobálních proměnných foreach ($superglobals As &$process) { //projde pole htmlspecialcharsRecursive($process); //provede rekurzivní ošetření } //odstranění zbytečných proměnných unset($process); unset($superglobals); } fixSuperglobals(); //zavoláme funkci, která nám ošetří všechny vstupní superglobální proměnné /* Nyní jsou superglobální proměnné ošetřené proti Cross-site scripting. */ </source> Tento skript nám ošetří PHP kód proti '''Cross-site scripting (XSS)''' útokům. Pokud pracujeme ještě s databází, je nutné ošetřit skript také proti [[SQL injection]]! === Na straně uživatele === Na straně uživatele vpodstatě obrana neexistuje. Lze sice vypnout [[JavaScript]] ovšem mnoho stránek tím prakticky znefunkčníne a drtivá většina prohlížečů ji má zapnuto. Je třeba si ale uvědomit, že o zamezení možnosti cross-site scriptingu by se měl postarat skript na straně serveru. == Související články == * [[SQL injection]] – podobný druh útoku na WWW aplikaci přes neošetřené vstupy * [[Cross-Site Request Forgery]] == Externí odkazy == * [http://www.cgisecurity.com/articles/xss-faq.shtml The Cross-site Scripting FAQ] * [http://www.owasp.org/index.php/Cross-site_Scripting_(XSS) OWASP – Cross-site Scripting (XSS)] * [http://ha.ckers.org/xss.html Přehledný seznam většiny použitelných XSS scriptů] * [http://www.phpguru.cz/clanky/cross-site-scripting Podrobný článek o XSS a obraně proti němu v PHP] * [http://www.soom.cz/index.php?name=articles/show&aid=485&title=Pokrocile-techniky-XSS Obsáhlý článek věnovaný XSS] * [http://www.soom.cz/index.php?name=articles/show&aid=574&title=Pravni-aspekty-XSS-utoku Právní aspekty XSS útoků] * [http://www.soom.cz/data/Cross-Site_Scripting_v_praxi__Roman_Kummel.pdf Cross-site Scripting v praxi - zranitelnost] {{Flickr|Cross-site+scripting}}{{Článek z Wikipedie}} [[Kategorie:Počítačové útoky]]

Návrat na stránku „Cross-site scripting“.