XSS

Příklady z praxe

1. 01

   Komentář s uloženým skriptem

   Diskusní aplikace uloží komentář bez úprav a administrace ho později vykreslí přes HTML. Útočníkův text se nezobrazí jako text, ale spustí se při otevření seznamu komentářů. Výsledkem může být čtení dat dostupných administrátorovi nebo odeslání akcí jeho jménem.

   <div>Ahoj <script>fetch('/api/me').then(r => r.text()).then(sendAway)</script></div>

2. 02

   Vyhledávání s odraženým parametrem

   Stránka s vyhledáváním vloží parametr z adresy přímo do výsledku. Odkaz poslaný oběti pak může obsahovat vstup, který změní strukturu stránky. Bezpečnější varianta zapisuje hodnotu jako textový uzel, takže prohlížeč neinterpretuje vstup jako značky ani skript.

   const q = new URLSearchParams(location.search).get('q') ?? '';
   result.innerHTML = `Hledali jste: ${q}`; // špatně
   result.textContent = `Hledali jste: ${q}`; // bezpečnější

Časté omyly

MýtusXSS se vyřeší tím, že zakážeme znak <.

Ve skutečnostiXSS nevzniká jen přes HTML značku script. Nebezpečný vstup se může objevit v atributu, URL, JavaScriptovém řetězci, CSS kontextu nebo v DOM operaci, takže obrana musí odpovídat konkrétnímu kontextu.

MýtusHTTPS zabrání XSS útoku.

Ve skutečnostiHTTPS chrání přenos mezi prohlížečem a serverem, ne logiku vykreslení stránky. XSS může běžet i na perfektně šifrovaném webu, pokud aplikace vloží nedůvěryhodná data jako spustitelný obsah.

MýtusPoužíváme React, takže XSS nehrozí.

Ve skutečnostiReact a podobné frameworky běžně escapují textové hodnoty, což výrazně pomáhá. XSS se ale může vrátit přes nebezpečné API, špatně sanitizované HTML, nezabezpečené externí skripty nebo ruční manipulaci s DOM.

Časté dotazy

Proč je XSS nebezpečné i v interní administraci?

XSS se řeší i u interních administrací, protože administrátor mívá širší oprávnění než běžný uživatel. Uložený škodlivý komentář, název objednávky nebo pole profilu se může spustit právě při kontrole v administraci. Útočník pak neútočí přímo na databázi, ale na prohlížeč člověka, který má přístup k citlivým akcím.

Stačí proti XSS zapnout Content Security Policy?

Content Security Policy je silná doplňková ochrana proti XSS, ale sama o sobě problém neřeší. CSP může zakázat inline skripty, omezit zdroje JavaScriptu a ztížit odnesení dat, jenže špatně vložený HTML obsah zůstává chybou aplikace. Primární obrana je správné kódování výstupu, bezpečné šablony a omezené zacházení s uživatelským HTML.

Jak bezpečně zobrazit HTML napsané uživatelem?

Aplikace má HTML od uživatele zobrazovat jen tehdy, když je jasně omezené a prošlo sanitizací určenou pro HTML. Sanitizace musí povolit pouze bezpečné značky a atributy, odstranit skripty, nebezpečné URL a událostní atributy. Pokud uživatel nepotřebuje formátování, lepší řešení je zobrazit vstup jako obyčejný text pomocí automatického escapování.

Kdy má XSS největší dopad na uživatele?

XSS je zvlášť vážné, když napadená stránka pracuje s účtem přihlášeného uživatele, administrátorskými funkcemi nebo citlivými daty v prohlížeči. Škodlivý skript pak může využít existující relaci a provést akce, které server považuje za legitimní. Riziko zvyšují čitelné tokeny, slabá kontrola oprávnění a chybějící potvrzení důležitých operací.

Zdroje

1. Cross Site Scripting (XSS)(otevře se v novém okně)OWASP
2. OWASP Cheat Sheet Series(otevře se v novém okně)OWASP
3. Cross-site scripting (XSS)(otevře se v novém okně)MDN Web Docs
4. Content Security Policy (CSP)(otevře se v novém okně)MDN Web Docs

Související pojmy

• CookieCookie je malý údaj, který web uloží v prohlížeči a prohlížeč jej při dalších požadavcích posílá zpět příslušnému webu. Používá se pro přihlášení, nastavení, košík, analytiku i reklamu. Bezpečné použití závisí na atributech jako Secure, HttpOnly, SameSite, expirace a správném souhlasu uživatele.
• LocalStorageLocalStorage je prohlížečové úložiště typu klíč–hodnota, které webové stránce umožňuje ukládat řetězce na disk uživatele bez data expirace. Data zůstávají po zavření záložky i restartu počítače, jsou oddělená podle původu (schéma, doména, port) a přistupuje se k nim synchronně z JavaScriptu přes rozhraní window.localStorage.
• 3D model3D model je digitální reprezentace objektu nebo prostoru ve třech rozměrech, složená z geometrie, materiálů a často i textur, animací či fyzikálních vlastností. Používá se v hrách, filmech, průmyslovém návrhu, architektuře, e-commerce i simulacích, kde software z modelu počítá zobrazení nebo další data.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Adresa v pamětiAdresa v paměti je číslo, kterým procesor jednoznačně označuje konkrétní buňku operační paměti, obvykle jeden bajt. Program pomocí adresy říká, odkud má data načíst nebo kam je zapsat. Adresy tvoří souvislý číselný rozsah, jehož velikost určuje šířka adresní sběrnice a architektura, typicky 32 nebo 64 bitů.
• AI agentAI agent je softwarový systém, který pomocí modelu umělé inteligence vnímá zadaný kontext, plánuje další kroky a samostatně volá nástroje nebo služby k dosažení cíle. Na rozdíl od jednorázového promptu udržuje stav úlohy, vyhodnocuje výsledky akcí a může opakovat postup, dokud nesplní zadání nebo nenarazí na limit.