Cross-Site Scripting, häufig unter dem Kürzel XSS bekannt, ist eine der bekanntesten und am weitesten verbreiteten Sicherheitslücken im Web. Bei dieser Art von Angriff kann ein Angreifer schädlichen Code in Webseiten einfügen, die dann von ahnungslosen Benutzern ausgeführt wird.

Entstehungsgeschichte von XSS

Die Wurzeln von XSS liegen in den frühen Tagen des Webs. Mit der wachsenden Beliebtheit von interaktiven Webanwendungen und der steigenden Komplexität von JavaScript entstand ein Bedarf, diese Skripte sicher beherrschen. Es ist schwer zu bestimmen, wer genau den ersten Angriff mit dieser Methode durchgeführt hat, da viele Webentwickler unabhängig voneinander auf diese Sicherheitslücke stießen. Der Begriff „Cross-Site Scripting“ selbst entstand in den 1990er Jahren und war eine Anspielung auf „Cross-Site Tracking“.

Funktionsweise von XSS

Ein einfaches Beispiel: Eine Webseite erlaubt es Benutzern, Kommentare zu posten. Ein Angreifer könnte nun einen Kommentar posten, der im eigentlichen Sinn ein schädliches Skript ist:

<script>alert('XSS Angriff!');</script>

Würde die Webseite diesen Kommentar ohne Überprüfung anzeigen, würde jeder Besucher dieses Kommentars eine Popup-Nachricht mit „XSS Angriff!“ sehen. Das ist ein einfaches Beispiel, aber in der Praxis können derartige Angriffe viel komplexer und schädlicher sein, etwa indem sie Cookies stehlen oder andere Aktionen im Namen des Benutzers ausführen.

Arten von XSS-Angriffen

1. Reflektiertes XSS: Hier wird der schädliche Code über die URL oder durch eine andere externe Eingabe an die Webseite übermittelt und direkt ausgeführt, ohne das eine Speicherung auf der Webseite erfolgen muss.
2. Gespeichertes XSS: Dieser Angriff beinhaltet das Speichern des schädlichen Skripts auf der Webseite. Beispielsweise durch einen Kommentar. Wenn andere Benutzer die Seite besuchen, erfolgt die Ausführung des Skripts.
3. DOM-basiertes XSS: Bei diesem Angriff wird der schädliche Code durch Manipulation des Document Object Models (DOM) der Seite eingefügt und ausgeführt.

Schutz vor XSS

Sicherheit dagegen erfordert eine robuste Eingabevalidierung und -desinfektion. Folgende Praktiken helfen dabei:

• Nutzen von Content Security Policies (CSP), die das Ausführen von nicht autorisierten Skripten blockieren.
• Validierung sämtlicher Eingaben vor der Verarbeitung.
• HTML– und JavaScript-Code mithilfe von Bibliotheken oder Funktionen wie htmlspecialchars() in PHP oder encodeForHTML() in Java desinfizieren.
• Verwendung von HTTP-only-Cookies, um das Stehlen von Cookies zu verhindern.

Fazit

XSS ist eine ernste Bedrohung im modernen Web, aber durch sorgfältige Entwicklung und die Implementierung von Best Practices lässt sich das Risiko erheblich reduzieren. Es bleibt entscheidend, immer auf dem neuesten Stand der Sicherheitspraktiken zu bleiben und Webanwendungen regelmäßig auf Schwachstellen zu überprüfen. Ansonsten kann ich an dieser Stelle auch den Beitrag über OWASP empfehlen (Zur offiziellen Seite von OWASP geht es hier entlang).