Was ist ein XSS-Angriff und was können Sie dagegen tun?

Die Welt beginnt, sich mit einer als Cross-Site-Scripting (XSS) bekannten Schwachstelle auseinanderzusetzen. Während ich es für eine gute Sache halte, dass das Problem auf Websites weltweit angegangen wird, denke ich, dass es nicht gut für uns ist, unwissend darüber zu sein, was es ist. Schließlich sind die meisten XSS-Angriffe von dem potenziellen Opfer verhinderbar. Im Internet liegt es in Ihrer Verantwortung, sich gegen jede Bedrohung zu wappnen, damit Sie nicht zum Opfer werden. Um zu verstehen, wie Sie sich gegen XSS schützen können, müssen Sie zunächst wissen, was XSS ist und wie es Sie betreffen kann, und dann, wie Sie es verhindern können.

Was ist XSS?

Die Definition liegt im Namen. Ein XSS-Angriff wird ausgeführt, indem eine URL so modifiziert wird, dass bestimmte Skripte in sie injiziert werden können. Zum Beispiel können Sie eine ganz andere Website innerhalb eines Rahmens des Ziels der URL anzeigen.

Sehen Sie sich ein Beispiel der modifizierten URL an:

Sehen Sie, wo das Skript injiziert wurde? In diesem Beispiel ist es ziemlich einfach, da es mit “ beginnt.

Wie betrifft XSS Sie?

XSS kann auf verschiedene Weise verwendet werden. Einige posten möglicherweise einfach einen Link auf Twitter, der die bösartige URL enthält. Twitter erledigt die Hälfte der Arbeit für sie, indem es die URL teilweise verdeckt. Kontextuelle Links innerhalb von unzuverlässigen Blogs und Websites können URLs enthalten, die durch den “Ankertext” maskiert sind (was eine andere schicke Art ist, den unterstrichenen und blauen Text zu beschreiben).

Wenn Sie auf den Link klicken, können eine Reihe von Dingen passieren. Im besten Fall erleben Sie eine “Streiche”, sozusagen. Mit anderen Worten, Sie werden auf eine Seite mit einer Menge gefälschter Inhalte geleitet, die möglicherweise der Gruppe Anerkennung zollt, die den XSS-Angriff durchgeführt hat. Im schlimmsten Fall wird Ihr Browser albtraumhafte Symptome erleben. Ihre Startseite könnte geändert werden, und mehrere verschiedene Belästigungen können auf Ihrem Computer als Ergebnis ausgeführter Malware auftreten.

XSS kann auch verwendet werden, um Sie zu verfolgen, indem Cookies ohne Ihre Zustimmung auf Ihrem Computer installiert werden. Das Sammeln dieser Daten könnte Hackern ermöglichen, ein besseres Verständnis für eine “digitale Demografie” der Personen zu gewinnen, die sie für zukünftige Malware-Infektionen anvisieren. In einem solchen Fall könnten Sie möglicherweise überhaupt nichts auf Ihrem Computer oder mobilen Gerät bemerken.

Wie gefährlich ist XSS?

Alles in allem ist XSS normalerweise nicht sehr gefährlich. Es kann lästig sein, aber es wird zumindest kurzfristig keine langfristigen Konsequenzen haben. Seien Sie jedoch vorsichtig bei Kombinationen zwischen XSS-Angriffen und anderen Arten von bösartigem Verhalten!

Angenommen, Facebook ist anfällig für XSS. Ein Hacker kann leicht eine gefälschte Anmeldeseite in die URL von Facebook injizieren. Sie würden sich erfolgreich anmelden (da die gefälschte Seite Ihre Anmeldedaten sowohl an Facebook als auch an ihre eigene Datenbank senden kann), aber der Hacker hat jetzt Ihren Benutzernamen und Ihr Passwort. Hier zeigt sich die wahre Gefahr von XSS.

Wie schützen Sie sich vor XSS?

Eines Tages wird XSS nur noch eine Sache der Vergangenheit sein. Aber bis dahin müssen Sie lernen, sich davor zu schützen, in die XSS-Falle zu tappen. Jedes Mal, wenn Sie eine Seite betreten, werfen Sie einen Blick auf die URL. Wenn es irgendetwas gibt, das darauf hinweist, dass sich ein Skript darin befindet (wie die Zeichen “<” und “>”, die ein Wort umgeben), dann ist es klug, Ihr Ermessen walten zu lassen und vielleicht zu gehen. Achten Sie auch auf die URLs zu Links. Klicken Sie mit der rechten Maustaste auf jeden Link und kopieren Sie ihn in Ihre Zwischenablage. Fügen Sie die URL in Ihre Notepad-Anwendung ein und überprüfen Sie sie, bevor Sie überhaupt hineingehen.

Wenn Sie eine Website entwickeln, lesen Sie dieses Spickzettel. Dies wird Sie und Ihre Besucher vor XSS schützen. Stellen Sie sicher, dass Sie den Spickzettel an alle Webentwickler, die Sie kennen, senden. Sie werden es zu schätzen wissen.

Wenn Sie weitere Fragen zu XSS haben, hinterlassen Sie diese bitte in einem Kommentar unten!