Hva er XSS (Cross-Site Scripting)?

Cross-Site Scripting, eller XSS, er en sikkerhetsfeil på nettsteder som lar angripere legge til skadelige skript på nettsider. Som oftest er disse skriptene skrevet i JavaScript.

Hvis noen besøker en side som er påvirket av XSS, kjører nettleseren deres angriperens skript. Dette kan resultere i stjålne informasjonskapsler, kaprede økter, eller handlinger utført uten brukerens tillatelse.

XSS, som SQL Injection, er jevnlig oppført i OWASP Top 10 som en av de vanligste sårbarhetene i webapplikasjoner.

Hvordan fungerer XSS?

XSS retter seg ofte mot webapplikasjoner som ikke korrekt sjekker og renser brukerinput.

For eksempel, hvis en kommentarboks tillater rå HTML eller JavaScript uten noen form for filtrering, kan en angriper legge til kode som dette:

<script>alert('Hacket!');</script>

Når ofre ser siden, kjører den skadelige koden i nettleseren deres.

Hvorfor XSS er viktig i cybersikkerhet

XSS kan føre til et større brudd:

• Kontoovertakelse (stjeling av sesjonskapsler for å utgi seg for brukere)
• Datatyveri (fange opp skjemainput som passord eller kredittkort)
• Phishing-angrep (injisere falske innloggingsskjemaer)
• Malware-levering (omdirigere brukere til skadelige nettsteder)

Typer av XSS

1. DOM-basert XSS
2. Angrepet skjer helt i nettleseren ved å manipulere Document Object Model (DOM) uten å involvere serveren.
3. Lagret XSS
4. Ondsinnet skript lagres permanent på serveren, for eksempel i databasen eller på profilsiden.
5. Reflektert XSS
6. Skriptet reflekteres fra en webserver (f.eks. i URL eller feilmelding), skriptet vil bli utført når offeret klikker på en spesiallaget lenke av angripere.

Hvordan forhindre XSS

• Inndatasanitering og utgangskoding: alltid rengjøre brukerinndata før behandling, transformere brukerinndata til et trygt format
• Bruk Content Security Policy (CSP): begrenser hvilke skript som kan kjøres i nettleseren.
• Unngå eval() og inline JavaScript: for å redusere injeksjonsrisiko.
• Sikkerhetstesting (DAST/IAST): kjør sikkerhetstesting for å oppdage sårbarheter tidlig

Eksempel i virkelige tilfeller - Samy-ormen (MySpace, 2005)

Hva skjedde: Samy Kamkar publiserte en MySpace-profil som inneholdt en lagret XSS-nyttelast. Når andre brukere så profilen, kjørte nyttelasten i nettleserne deres, den (a) la til Samy som venn, (b) la til setningen “Samy is my hero” til profilene deres, og (c) replikerte seg selv til disse brukernes profilsider.

Innvirkning: Ormen selvreplikerte til ~1 million brukere innen ~20 timer, noe som tvang MySpace offline midlertidig.

Hvorfor det fungerte: MySpace tillot uescaped HTML/attributter i profilfeltene, noe som muliggjorde lagret skripteksekvering i besøkendes nettlesere.

Leksjoner / fiks: Riktig utgangskoding, inndatakontroll, fjerning av HTML i profilfelt, og rask oppdatering. Samy møtte senere juridiske konsekvenser, og MySpace implementerte filtre.

Relaterte Termer

• SQL Injection
• DAST (Dynamic Application Security Testing)
• OWASP Topp 10
• CSRF (Cross-Site Request Forgery)