Mikä on XSS (Cross-Site Scripting)?

Cross-Site Scripting, eli XSS, on verkkosivustojen tietoturva-aukko, joka mahdollistaa hyökkääjien haitallisten skriptien lisäämisen verkkosivuille. Useimmiten nämä skriptit kirjoitetaan JavaScriptillä.

Jos joku vierailee XSS

vaikuttamalla sivulla, hänen selaimensa suorittaa hyökkääjän skriptin. Tämä voi johtaa varastettuihin evästeisiin, kaapattuihin istuntoihin tai käyttäjän luvatta tehtyihin toimenpiteisiin.

XSS, kuten SQL Injection, on säännöllisesti listattu OWASP Top 10 -listalla yhtenä yleisimmistä verkkosovellusten haavoittuvuuksista.

Kuinka XSS toimii?

XSS kohdistuu usein verkkosovelluksiin, jotka eivät tarkista ja puhdista käyttäjän syötettä oikein.

Esimerkiksi, jos kommenttilaatikko sallii raaka HTML

tai JavaScriptin ilman suodatusta, hyökkääjä voisi lisätä koodia kuten:

<script>alert('Hacked!');</script>

Kun uhrit katsovat sivua, haitallinen koodi suoritetaan heidän selaimessaan.

Miksi XSS on tärkeä kyberturvallisuudessa

XSS voi johtaa suurempaan tietomurtoon:

• Tilin kaappaus (istuntoevästeiden varastaminen käyttäjien esittämiseksi)
• Tietovarkaus (lomakesyötteiden, kuten salasanojen tai luottokorttien, kaappaaminen)
• Phishing-hyökkäykset (väärennettyjen kirjautumislomakkeiden injektointi)
• Haittaohjelmien jakelu (käyttäjien ohjaaminen haitallisille verkkosivustoille)

XSS

tyypit

1. DOM-pohjainen XSS
2. Hyökkäys tapahtuu kokonaan selaimessa manipuloimalla Document Object Modelia (DOM) ilman palvelimen osallisuutta.
3. Tallennettu XSS
4. Haitallinen skripti tallennetaan pysyvästi palvelimelle, kuten tietokantaan tai profiilisivulle.
5. Heijastettu XSS
6. Skripti heijastuu verkkopalvelimelta (esim. URL-osoitteessa tai virheilmoituksessa), skripti suoritetaan, kun uhri klikkaa hyökkääjien luomaa linkkiä.

Kuinka estää XSS

• Syötteen puhdistus ja tulostuksen koodaus: aina käyttäjädatan puhdistaminen ennen sen käsittelyä, muuntaen käyttäjädatan turvalliseen muotoon
• Käytä Content Security Policy (CSP): rajoittaa, mitä skriptiä voidaan suorittaa selaimessa.
• Vältä eval()- ja inline-JavaScriptiä: vähentääksesi injektioriskejä.
• Turvatestaus (DAST/IAST): suorita turvatestausta haavoittuvuuksien havaitsemiseksi aikaisin

Esimerkki tosielämän tapauksesta - Samy-mato (MySpace, 2005)

Mitä tapahtui: Samy Kamkar julkaisi MySpace-profiilin, joka sisälsi tallennetun XSS-kuorman. Kun muut käyttäjät katsoivat profiilia, kuorma suoritettiin heidän selaimissaan, se (a) lisäsi Samyn ystäväksi, (b) lisäsi lauseen “Samy is my hero” heidän profiileihinsa, ja (c) replikoitui näiden käyttäjien profiilisivuille.

Vaikutus: Mato levisi itsestään ~1 miljoonalle käyttäjälle noin 20 tunnin kuluessa, pakottaen MySpacen tilapäisesti offline-tilaan.

Miksi se toimi: MySpace salli pakkaamattoman HTML

/attribuuttien käytön profiilikentissä, mikä mahdollisti tallennetun skriptin suorittamisen vierailijoiden selaimissa.

Oppitunnit / korjaus: Oikea lähtöaineiston koodaus, syötteen puhdistus, HTML

poistaminen profiilikentistä ja nopea korjaaminen. Samy kohtasi myöhemmin oikeudellisia seurauksia, ja MySpace otti käyttöön suodattimet.

Liittyvät termit

• SQL-injektio
• DAST (Dynaaminen sovellusturvatestaus)
• OWASP Top 10
• CSRF (Cross-Site Request Forgery)