XSS — Уязвимости веб-серверов

30. 06. 2013

Когда речь заходит об межсайтовых сценарных атаках, или pi атаках XSS, большинство разработчиков имеет в виду уязвимости веб-сайтов, открывающие возможность атаки клиентского браузера.

xss — Атаки

XSS - Уязвимости веб-серверовОднако, не давние года, отмечены как ростом количества серверных дефектов XSS, так и вызывающее беспокойство ростом проблем XSS на стороне клиента. Последняя разновидность атаки относительно нова.

Исследования MITRE Corporation показали, что дефекты XSS вытеснили скромные, но весьма распространенные переполнения буфера с роли «дежурного дефекта». Мы считаем, что нарастание проблем XSS объясняется многими причинам!

Во-первых, стремительный рост количества веб-приложений.

Во-вторых, лихорадочно стремясь как можно быстрее написать и развернуть в сети свое веб-приложение, многие разработчики полностью игнорируют проблемы безопасности, допускают ошибки и пишут небезопасный код!

В-третьих, распространение приложений AJAX (Asynchronous JavaScript and XML) в сочетании с невежеством в области безопасности приводит опять же к новым проблемам XSS.

В-четвертых, в ходе обширного анализа сообществом безопасности были найдены новые интересные разновидности дефектов XSS, против которых стандартные меры защиты порой оказываются бессильными.

В-пятых, для обнаружения дефектов XSS не требуется почти ничего, кроме браузера и некоторых знаний.

И наконец, по мере того как основные фирмы-производители укрепляют защиту своих операционных систем, количество и влияние классических уязвимостей переполнений буфера сокращается, а злоумышленникам и исследователям приходится искать новые типы уязвимостей.

Так почему бы не выбрать нечто еще более распространенное, чем Microsoft Windows — Веб?!

В Интернете даже существует один сайт, на котором перечислены уязвимости XSS (и связанные с XSS) на общедоступных веб-сайтах! Учтите, что попытки поиска дефектов XSS на сайте, вам не принадлежащем, могут привести к трениям с законом.

Например, результатом взлома может быть похищение cookie или манипуляции с веб-страницей, которую получает пользователь. На сегодняшний день существует несколько разновидностей веб-червей, которые используют уязвимости XSS для своего распространения.

Однако необходимо заметить следующие что: дефекты XSS не являются дефектами самого веб-сервера; скорее, это дефекты в веб-страницах, генерируемых сервером.

Не торопитесь осуждать Microsoft IIS (Internet Information Services) или Apache. Хотя по правде говоря, некоторые из этих страниц могут входить в установочный комплект сервера!

Какое-то время в области дефектов XSS шло активное перекладывание вины. Разработчики веб-серверов говорили: «Виноваты клиенты, они генерируют всякую ерунду», а разработчики клиентов отвечали: «А кто нам эту ерунду поставляет?»

В общем случае, браузер не может определить, какие сценарные теги были задуманы программистом, а какие были внедрены атакующим.