Межсайтовое выполнение сценариев XSS остаётся одним из наиболее типичных и опасных классов уязвимостей веб приложений. Суть XSS состоит в том что злоумышленник добивается исполнения произвольного JavaScript кода в браузере жертвы в доверенном контексте сайта что даёт доступ к сессии учетным данным и интерфейсу приложения.
Основной причиной XSS является некорректная обработка непроверенных данных пользователя, которые попадают в HTML разметку DOM или встроенный JavaScript без контекстного экранирования. Чтобы понять как защищаться важно знать основные основы XSS, уметь видеть "слабые места" и проводить тестирование.
Основные виды XSS
Чаще всего выделяют три базовых типа XSS:
- Отражённая XSS когда вредоносный ввод возвращается пользователю немедленно в ответе сервера например через параметр строки запроса или поле формы. Эксплуатация обычно происходит через специально сформированную ссылку.
- Хранимая XSS когда полезная нагрузка сохраняется на стороне сервера например в базе данных и затем автоматически встраивается в страницу для множества пользователей. Этот вариант наиболее опасен поскольку масштабирует атаку.
- DOM основанная XSS когда модификация выполняется целиком в браузере за счёт небезопасной работы клиентского JavaScript с location hash или другими источниками данных без участия сервера.
На практике встречаются гибридные сценарии, где данные проходят через сервер, а затем дополнительно обрабатываются в DOM что усложняет последующий анализ.
Инструменты и практические приёмы обнаружения
Базовый уровень обнаружения уязвимости начинается с работой в браузере. Встроенные инструменты браузера в режиме разработчика позволяют отслеживать сетевые запросы анализировать HTML контекст появления пользовательских данных и экспериментировать с полезными нагрузками прямо в консоли.
Для автоматизированного анализа используют прокси сканеры, такие как ZAP, Burp Suite и др... Процесс поиска XSS с OWASP ZAP выглядит так, запускается прокси приложение на рабочей станции, браузер настраивается на использование прокси, затем выполняется навигация по целевому сайту и включается активное сканирование параметров на наличие XSS. В средах с Docker команда запуска сканирования выглядит следующим образом:
docker run -u zap -p 8080:8080 owasp/zap2-docker-stable zap-baseline.py -t https://target.example -r report.html
Для более агрессивного тестирования уязвимостей в параметрах используются специализированный инструментарий по типу XSStrike написанный на Python. Установка и запуск XSStrike выглядеть следующим образом:
git clone https://github.com/s0md3v/XSStrike.git
cd XSStrike
pip install -r requirements.txt
python xsstrike.py -u "https://target.example/search?q=test"
XSStrike анализирует контекст отражения параметров и подбирает максимально подходящие полезные нагрузки снижая риск ложных срабатываний. Однако результаты работы все равно рекомендуется перепроверять в ручном режиме, поскольку не одно автоматизированное средство не может гарантировать 100% точность.
