XSS-атака

DOM-based XSS (на основе DOM)

В этом типе атаки вредоносный код не отправляется на сервер, а выполняется непосредственно в браузере через манипуляцию объектной моделью документа (DOM). Уязвимость возникает, когда клиентский JavaScript-скрипт некорректно обрабатывает данные из источника (например, document.location.hash, window.name, localStorage) и вставляет их в «приёмник» (например, innerHTML, document.write). Пример: скрипт считывает хеш URL и вставляет его в элемент div через innerHTML. Если хеш содержит <img src=x onerror=alert(1)>, код выполнится.

Механизм атаки

Общий сценарий XSS-атаки включает три этапа:

1. Внедрение — злоумышленник находит способ вставить вредоносный код в веб-страницу (через форму ввода, URL-параметр, HTTP-заголовок и т.д.).
2. Распространение — код доставляется браузеру жертвы. При отражённой XSS это происходит через ссылку; при хранимой — через просмотр страницы; при DOM-based — через клиентский скрипт.
3. Исполнение — браузер жертвы интерпретирует код как часть HTML-документа и выполняет его. Злоумышленник получает доступ к данным, доступным в контексте этого документа.

Последствия

Успешная XSS-атака может привести к:

• Краже сессионных данных — злоумышленник получает cookie-файлы жертвы и может войти в её аккаунт без пароля.
• Фишингу — подмена содержимого страницы для сбора логинов, паролей, банковских данных.
• Распространению вредоносного ПО — через внедрение скрипта, загружающего и запускающего троян или кейлоггер.
• Дефейсу — изменение внешнего вида сайта (например, размещение оскорбительных изображений).
• DDoS-атакам — использование браузеров жертв для отправки запросов на целевой сервер.

Защита

Защита от XSS-атак строится на нескольких принципах.

Валидация и санитизация ввода

• Экранирование (escaping) — замена специальных символов HTML (<, >, &, ", ') на их безопасные сущности (<, >, &, ", '). Должно применяться на стороне сервера и клиента.
• Фильтрация — удаление или блокировка опасных тегов (например, <script>, onerror, javascript:). Используются белые списки разрешённых тегов и атрибутов.
• Валидация типа данных — проверка, что вводимое значение соответствует ожидаемому формату (например, только цифры для возраста, email-адрес для поля почты).

Контекстно-зависимая обработка

Опасные символы экранируются в зависимости от контекста: HTML-тело, атрибуты, JavaScript, CSS, URL. Например, в атрибуте href необходимо проверять протокол (только http:// или https://), а не только экранировать кавычки.

HTTP-заголовки безопасности

• Content-Security-Policy (CSP) — заголовок, ограничивающий источники скриптов, стилей и других ресурсов. Например, Content-Security-Policy: script-src 'self' запретит выполнение любых внешних скриптов, включая inline-скрипты.
• X-XSS-Protection — устаревший заголовок (включённый в браузеры), но может использоваться для включения встроенного фильтра XSS в браузере (например, X-XSS-Protection: 1; mode=block).
• HttpOnly cookie — флаг, запрещающий доступ к cookie-файлам через JavaScript (атрибут HttpOnly). Это не защищает от XSS, но предотвращает кражу cookie.

Безопасное программирование

• Использование современных фреймворков (React, Angular, Vue), которые автоматически экранируют ввод в шаблонах.
• Избегание опасных функций: innerHTML, document.write, eval, setTimeout со строковым аргументом.
• Использование API для безопасного создания DOM-элементов: document.createElement, textContent вместо innerHTML.

Примеры известных атак

• Samy (2005) — червь, поразивший MySpace через хранимую XSS. Внедрённый код копировал себя в профили друзей жертвы, что привело к масштабному заражению.
• XSS на Yahoo Mail (2013) — злоумышленники использовали уязвимость в обработке вложений для кражи cookie-файлов. Атака затронула миллионы пользователей.
• XSS на eBay (2016) — хранимая XSS в описании товаров позволяла злоумышленникам перенаправлять покупателей на фишинговые страницы.

Интересные факты

• XSS-атаки могут быть использованы для обхода защиты CSRF, так как скрипт выполняется в контексте доверенного сайта.
• Существуют автоматизированные сканеры XSS-уязвимостей (например, OWASP ZAP, Burp Suite), которые тестируют веб-приложения на наличие инъекций.
• В 2017 году OWASP включил XSS в список Top 10 Web Application Security Risks под номером 7.

Критика

Некоторые специалисты считают, что термин «межсайтовый скриптинг» вводит в заблуждение, так как атака не обязательно требует взаимодействия между разными сайтами (например, DOM-based XSS может быть полностью внутри одного домена). Также критикуется подход «чёрных списков» для фильтрации тегов, так как он часто оказывается неполным (злоумышленники используют обфускацию, кодирование, новые атрибуты HTML5). Более надёжной считается стратегия «белых списков» и контекстного экранирования.

Источники

1. OWASP Cross-Site Scripting (XSS) — OWASP Foundation, 2023.
2. «The Web Application Hacker's Handbook» — D. Stuttard, M. Pinto, 2011.
3. «XSS Attacks: Cross Site Scripting Exploits and Defense» — S. Fogie, J. Grossman, R. Hansen, A. Rager, 2007.
4. CWE-79: Improper Neutralization of Input During Web Page Generation — MITRE, 2023.
5. «Browser Security Handbook» — M. Zalewski, 2009.