¿Qué es un ataque XSS y qué puedes hacer al respecto?
El mundo está comenzando a despertar ante algo conocido como una vulnerabilidad de scripting entre sitios (XSS). Aunque creo que es algo bueno que el problema se esté abordando en sitios web de todo el mundo, no creo que sea muy bueno que estemos ignorantes sobre lo que es. Después de todo, la mayoría de los ataques XSS son prevenibles por la potencial víctima. En internet, es tu responsabilidad armarte contra cualquier amenaza, no sea que te conviertas en una víctima. Para entender cómo puedes protegerte contra XSS, primero debes saber qué es XSS y cómo puede afectarte, luego cómo prevenirlo.
¿Qué es XSS?
La definición está en su nombre. Un ataque XSS se ejecuta modificando una URL de tal manera que puede permitir que ciertos scripts sean inyectados en ella. Por ejemplo, puedes hacer que un sitio web completamente diferente aparezca dentro de un marco de la URL de destino.
Mira un ejemplo de la URL modificada:
¿Ves dónde se inyectó el script? En este ejemplo, es bastante fácil porque comienza con “
¿Cómo te afecta XSS?
XSS puede ser utilizado de varias maneras. Algunos pueden simplemente publicar un enlace en Twitter que contenga la URL maliciosa. Twitter hace la mitad del trabajo por ellos al cubrir parcialmente la URL. Los enlaces contextuales dentro de blogs y sitios web no confiables pueden contener URLs que están enmascaradas por el “texto ancla” (que es otra forma elegante de describir el texto que está subrayado y en azul).
Cuando haces clic en el enlace, pueden suceder varias cosas. En el mejor de los casos, solo experimentarás una “broma”, por así decirlo. En otras palabras, serás dirigido a una página con un montón de contenido falso, quizás mostrando crédito al grupo que realizó el ataque XSS. En el peor de los casos, tu navegador experimentará síntomas de pesadilla. Puede que te cambien la página de inicio, y varios tipos de molestias pueden ocurrir en tu computadora como resultado de malware ejecutado.
XSS también puede ser utilizado para rastrearte al instalar cookies en tu computadora sin tu consentimiento. Reunir estos datos podría permitir a los hackers entender mejor una “demografía digital” de las personas que están apuntando para futuras infecciones de malware. En tal caso, es posible que ni siquiera notes nada extraño en tu computadora o dispositivo móvil.
¿Qué tan peligroso es XSS?
Dicho esto, XSS generalmente no es muy peligroso. Puede ser molesto, pero no presentará consecuencias a largo plazo, al menos no a corto plazo. Sin embargo, ¡ten cuidado con las combinaciones entre ataques XSS y otros tipos de comportamientos maliciosos!
Por ejemplo, digamos que Facebook es vulnerable a XSS. Un hacker puede inyectar fácilmente una página de inicio de sesión falsa en la URL de Facebook. Iniciarías sesión con éxito (ya que la página falsa puede enviar tus credenciales tanto a Facebook como a su propia base de datos), pero el hacker ahora tendrá tu nombre de usuario y contraseña. Aquí es donde se presenta el verdadero peligro de XSS.
Cómo protegerte contra XSS
Uno de estos días, XSS será solo cosa del pasado. Pero hasta entonces, debes aprender a prevenirte de caer en la trampa XSS. Cada vez que ingreses a una página, echa un vistazo a la URL. Si hay algo que indique que hay un script allí (como los caracteres “<” y “>” que rodean una palabra), entonces es prudente usar tu discreción y quizás salir. Además, observa las URLs de los enlaces. Haz clic derecho en cada enlace y cópialo a tu portapapeles. Pega la URL en tu aplicación de notas y revísala antes de entrar.
Si tienes un sitio web que estás desarrollando tú mismo, lee esta hoja de trucos. Esto te protegerá a ti y a tus visitantes de XSS. Asegúrate de enviar la hoja de trucos a cualquier desarrollador web que conozcas. Ellos lo agradecerán.
Si tienes más preguntas sobre XSS, ¡asegúrate de dejarlas en un comentario abajo!
