2 of 11

Введение в XSS

Межсайтовый скриптинг (XSS) — это уязвимость, позволяющая злоумышленнику внедрять вредоносные скрипты в веб-страницы, которые выполняются в браузере пользователя. Цель — кража данных, сессий или изменение содержимого страниц.

3 of 11

Типы XSS-атак

1. Reflected XSS — скрипт возвращается сервером при запросе.
2. Stored XSS — вредоносный код сохраняется на сервере и выполняется у всех пользователей.
3. DOM-based XSS — выполняется на стороне клиента, при изменении структуры DOM.

Пример Reflected XSS

Пример URL: http://example.com/search?q=<script>alert('XSS')</script>
При открытии ссылки сервер возвращает вредоносный код, который выполняется в браузере жертвы.

Пример Stored XSS

Злоумышленник оставляет комментарий с кодом <script>alert('Ваши данные украдены!');</script>.

Когда другой пользователь открывает страницу — скрипт выполняется и может похитить данные.

Пример DOM-based XSS

Пример ссылки: http://example.com/profile#<script>alert('XSS')</script>

Если приложение некорректно обрабатывает фрагмент URL, скрипт выполняется на клиентской стороне.

Последствия XSS-атак

• Кража сессионных cookie.

• Выполнение действий от имени пользователя.

• Фишинг и перенаправление на поддельные сайты.

• Компрометация системы и распространение вредоносного кода.

Методы защиты (1)

Методы защиты (2)

4. Внедрение Content Security Policy (CSP): ограничение выполнения скриптов только с доверенных источников.
5. Использование современных фреймворков (React, Angular, Vue), которые автоматически экранируют ввод.

Примеры CSP

Пример заголовка:
Content-Security-Policy: script-src 'self' https://trusted-scripts.com;
Разрешает выполнение только доверенных скриптов и предотвращает внедрение XSS-кода.

Вопросы для самопроверки