Qu'est-ce qu'une attaque XSS et que pouvez-vous y faire ?

Le monde commence à prendre conscience d’une vulnérabilité connue sous le nom de script intersite (XSS). Bien que je pense que c’est une bonne chose que le problème soit abordé sur les sites Web du monde entier, je ne pense pas qu’il soit très bon pour nous d’ignorer ce que c’est. Après tout, la plupart des attaques XSS sont évitables par la victime potentielle. Sur Internet, il est de votre responsabilité de vous protéger contre toute menace, sinon vous risquez de devenir une victime. Pour comprendre comment vous pouvez vous protéger contre le XSS, vous devez d’abord savoir ce qu’est le XSS et comment cela peut vous affecter, puis comment le prévenir.

Qu’est-ce que le XSS ?

La définition est dans son nom. Une attaque XSS est exécutée en modifiant une URL d’une manière qui peut permettre à certains scripts d’y être injectés. Par exemple, vous pouvez faire apparaître un site Web entièrement différent dans un cadre de la destination de l’URL.

Regardez un exemple de l’URL modifiée :

Voyez-vous où le script a été injecté ? Dans cet exemple, c’est plutôt facile car cela commence par “

Comment le XSS vous affecte-t-il ?

Le XSS peut être utilisé de plusieurs manières. Certains peuvent simplement poster un lien sur Twitter contenant l’URL malveillante. Twitter fait la moitié du travail pour eux en masquant partiellement l’URL. Les liens contextuels dans des blogs et sites Web peu fiables peuvent contenir des URL qui sont masquées par le “texte d’ancrage” (ce qui est une autre façon élégante de décrire le texte qui est souligné et bleu).

Lorsque vous cliquez sur le lien, plusieurs choses peuvent se produire. Dans le meilleur des cas, vous vivrez juste une “farce”, pour ainsi dire. En d’autres termes, vous serez dirigé vers une page avec un tas de contenu faux, peut-être montrant du crédit au groupe qui a effectué l’attaque XSS. Dans le pire des cas, votre navigateur connaîtra des symptômes cauchemardesques. Vous pourriez voir votre page d’accueil changée, et plusieurs désagréments différents peuvent se produire sur votre ordinateur à la suite de logiciels malveillants exécutés.

Le XSS peut également être utilisé pour vous tracer en installant des cookies sur votre ordinateur sans votre consentement. La collecte de ces données pourrait permettre aux hackers de mieux comprendre une “démographie numérique” des personnes qu’ils ciblent pour de futures infections par des logiciels malveillants. Dans un tel cas, vous pourriez même ne rien remarquer sur votre ordinateur ou votre appareil mobile.

À quel point le XSS est-il dangereux ?

Tout bien considéré, le XSS n’est généralement pas très dangereux. Cela peut être ennuyeux, mais cela ne présentera pas de conséquences à long terme, du moins pas à court terme. Cependant, méfiez-vous des combinaisons entre les attaques XSS et d’autres types de comportements malveillants !

Par exemple, disons que Facebook est vulnérable au XSS. Un hacker peut facilement injecter une fausse page de connexion à l’URL de Facebook. Vous vous connecterez avec succès (puisque la fausse page peut envoyer vos identifiants à la fois à Facebook et à sa propre base de données), mais le hacker aura maintenant votre nom d’utilisateur et votre mot de passe. C’est là que le véritable danger du XSS se manifeste.

Comment vous protéger contre le XSS

Un de ces jours, le XSS ne sera qu’un souvenir du passé. Mais d’ici là, vous devez apprendre à vous empêcher de tomber dans le piège du XSS. Chaque fois que vous entrez sur une page, jetez un œil à l’URL. S’il y a quoi que ce soit indiquant qu’il y a un script là-dedans (comme les caractères “<” et “>” entourant un mot), alors il est sage d’utiliser votre discrétion et peut-être de partir. De plus, faites attention aux URL des liens. Faites un clic droit sur chaque lien et copiez-le dans votre presse-papiers. Collez l’URL dans votre application de bloc-notes et vérifiez-la avant même d’entrer.

Si vous avez un site Web que vous développez vous-même, lisez cette feuille de triche. Cela vous protégera, vous et vos visiteurs, contre le XSS. Assurez-vous d’envoyer la feuille de triche à tous les développeurs Web que vous connaissez. Ils l’apprécieraient.

Si vous avez d’autres questions sur le XSS, n’hésitez pas à les laisser dans un commentaire ci-dessous !