O Que É Um Ataque XSS E O Que Você Pode Fazer Sobre Isso?
O mundo está começando a acordar para algo conhecido como vulnerabilidade de script entre sites (XSS). Embora eu acredite que seja uma boa coisa que o problema esteja sendo abordado em sites ao redor do globo, não acho muito bom que fiquemos ignorantes sobre o que é. Afinal, a maioria dos ataques XSS é evitável pela potencial vítima. Na internet, é sua responsabilidade se proteger contra qualquer ameaça, a menos que você se torne uma vítima. Para entender como você pode se proteger contra XSS, você deve primeiro saber o que é XSS e como isso pode afetá-lo, e depois como preveni-lo.
O Que É XSS?
A definição está em seu nome. Um ataque XSS é executado modificando uma URL de uma maneira que pode permitir que certos scripts sejam injetados nela. Por exemplo, você pode fazer um site completamente diferente aparecer dentro de um quadro do destino da URL.
Veja um exemplo da URL modificada:
Veja onde o script foi injetado? Neste exemplo, é bastante fácil porque começa com “
Como O XSS Afeta Você?
O XSS pode ser usado de várias maneiras. Alguns podem apenas postar um link no Twitter contendo a URL maliciosa. O Twitter faz metade do trabalho para eles ao encobrir parcialmente a URL. Links contextuais dentro de blogs e sites não confiáveis podem conter URLs que estão mascaradas pelo “texto âncora” (que é outra maneira chique de descrever texto que está sublinhado e azul).
Quando você clica no link, várias coisas podem acontecer. No melhor dos casos, você apenas experimentará uma “brincadeira”, por assim dizer. Em outras palavras, você será direcionado para uma página com um monte de conteúdo falso, talvez mostrando crédito ao grupo que realizou o ataque XSS. No pior dos casos, seu navegador experimentará sintomas de pesadelo. Você pode ter sua página inicial alterada, e várias diferentes irritações podem ocorrer em seu computador como resultado de malware executado.
O XSS também pode ser usado para rastreá-lo, instalando cookies em seu computador sem o seu consentimento. Coletar esses dados pode permitir que hackers entendam melhor uma “demografia digital” das pessoas que estão visando para futuras infecções de malware. Nesse caso, você pode nem perceber nada acontecendo em seu computador ou dispositivo móvel.
Quão Perigoso É O XSS?
Considerando tudo, o XSS geralmente não é muito perigoso. Pode ser irritante, mas não apresentará consequências a longo prazo, pelo menos não a curto prazo. No entanto, cuidado com combinações entre ataques XSS e outros tipos de comportamento malicioso!
Por exemplo, digamos que o Facebook seja vulnerável ao XSS. Um hacker pode facilmente injetar uma página de login falsa na URL do Facebook. Você faria login com sucesso (já que a página falsa pode enviar suas credenciais tanto para o Facebook quanto para seu próprio banco de dados), mas o hacker agora terá seu nome de usuário e senha. É aqui que o verdadeiro perigo do XSS se apresenta.
Como Se Proteger Contra O XSS
Um dia, o XSS será apenas uma coisa do passado. Mas até lá, você precisa aprender a se prevenir de cair na armadilha do XSS. Toda vez que você entrar em uma página, dê uma olhada na URL. Se houver algo indicando que há um script lá (como os caracteres “<” e “>” cercando uma palavra), então é sábio usar seu critério e talvez sair. Além disso, fique de olho nas URLs dos links. Clique com o botão direito em cada link e copie-o para sua área de transferência. Cole a URL em seu aplicativo de bloco de notas e verifique antes de entrar.
Se você tem um site que está desenvolvendo, leia esta folha de dicas. Isso protegerá você e seus visitantes contra XSS. Certifique-se de enviar a folha de dicas para qualquer desenvolvedor web que você conheça. Eles vão apreciar.
Se você tiver mais perguntas sobre XSS, não hesite em deixá-las em um comentário abaixo!
