Entendendo e prevenindo ataques de cross-site scripting – Neotel Segurança Digital
Entendendo e prevenindo ataques de cross-site scripting
neoadmin 11/12/2020 11/12/2020
Conhecendo esses ataques cibernéticos altamente personalizáveis e como se proteger deles
Você não pensaria que um método de ataque que foi encontrado pela primeira vez há mais de 20 anos estaria no topo da lista de ataques populares atuais. Mas esse é o caso do Cross-Site Scripting (XSS),um método que foi descoberto pela primeira vez pelos engenheiros da Microsoft na virada do século.
Nossa página explicadora XSS entra em mais detalhes sobre os diferentes tipos de ataque e alguns dos ataques e vítimas mais notáveis ao longo dos anos. As melhores notas foram emitidas pelo grupo Common Weakness Enumeration da MITRE, que também listou outras 24 fraquezas perigosas de software. Outros observadoresde malware também atestaram a popularidade do XSS ao longo dos anos, como ser #7 na lista das dez maiores vulnerabilidades do site da OWASP em 2017.
A ideia básica é pegar um site direcionado e injetar algum código em suas páginas da Web para que ele carregue conteúdo de outros domínios. Isso pode assumir a forma de uma página de login maliciosa, um conjunto de cookies web de sessão que podem carregar malware, ou uma injeção SQL ou outros tipos de compromissos. Um usuário é enganado a clicar em um link malicioso para iniciar as coisas. Nesse ponto, o usuário poderia divulgar suas senhas ou permitir que um ataque tomasse controle remoto sobre seu PC completamente, dependendo do design do malware.
Um dos ataques xss mais infames foi chamado Samy, que infectou mais de um milhão de usuários em 2005 em menos de um dia. O malware não era tão perigoso, exceto por seu autor, Samy Kamkar, que acabou pagando uma multa de US$ 15.000 e tendo que passar três anos sem qualquer conexão com a internet em liberdade condicional.
O XSS aparece em muitos lugares como apenas um player de apoio no ataque de malware. Um ataque infame foi visto pela Uber em 2018. HackerOne pagou uma recompensa de bugs de US $ 3.000 para corrigir o problema. Outro exemplo mais recente foi visto no mês passado, no qual o XSS desempenhou um papel em enganar os usuários a pensar que estavam lidando com uma pessoa legítima de suporte técnico. Neste caso específico,o golpista conseguiu convencer suas vítimas a pagar pelo suporte para "desbloquear" seus navegadores, fazendo uso do XSS dentro de uma das múltiplas camadas de engano usadas pelos golpistas.
Então, o que você pode fazer se administrar um site? Existem inúmeros recursos úteis, incluindo essas duas folhas de trapaça da OWASP (1, 2) que envolvem a limpeza de suas entradas. "Basicamente, você deseja empregar uma combinação de métodos de validação, filtragem, codificação e fuga para evitar que a entrada de usuário não confiável seja executada no aplicativo web", diz George Mathias em seu post no blog Medium. Esse post também tem mais detalhes sobre ataques históricos do XSS e outras sugestões. Se você executar um blog wordpress, aqui estão algumas sugestões para melhorar a postura de segurança do seu site. Algumas delas se aplicam a qualquer instalação de servidor web, como escolher algo que não seja "administrador" como login no site e empregar proteção de autenticação de vários fatores.