ИнфоБез

Web Security #7. XSS: когда текст становится кодом Представим страницу профиля. Пользователь вводит имя:

Alice

Сервер сохраняет его. Затем приложение формирует HTML:

<h1>Hello, Alice</h1>

Всё нормально. Проблема появляется, когда приложение неправильно обрабатывает пользовательский ввод и браузер начинает воспринимать его как HTML или JavaScript. Например, приложение делает:

element.innerHTML = username;

Здесь username приходит от пользователя. Это опасный подход, если содержимое не должно быть HTML. Почему? Потому что браузер интерпретирует значение innerHTML как HTML-разметку. Вместо:

Привет, Alice

в страницу может попасть HTML, который браузер обработает как разметку. Если через такую точку удаётся выполнить JavaScript, это уже XSS. XSS бывает разных типов:

Stored XSS
Reflected XSS
DOM-based XSS

Например, при Stored XSS пользовательский ввод сохраняется на сервере. Другой пользователь открывает страницу. Сервер возвращает сохранённые данные. Браузер обрабатывает их как код. Схема:

Attacker input
      ↓
Application
      ↓
Database
      ↓
Victim browser
      ↓
JavaScript execution

Защита зависит от контекста, но основные методы:

Output encoding
Безопасная работа с DOM
Sanitization
Content Security Policy

Практика: Возьми учебную XSS-лабораторию. Найди место, куда вводится текст. Посмотри:

куда попадает ввод;
как сервер его возвращает;
как браузер его отображает.

Главный вопрос:

Может ли пользовательский текст оказаться там, где браузер ожидает HTML или JavaScript?