Cross-Site-Scripting (XSS)

aus SecuPedia, der Plattform für Sicherheits-Informationen

Anzeige
Wechseln zu: Navigation, Suche

Beim Cross Site Scripting (auch XSS abgekürzt) handelt es sich um einen Angriff, bei dem üblicherweise Javascript von einem Angreifer in eine Webapplikation implementiert wird. Ziel ist es dabei, z. B. an das Cookie eines angemeldeten Benutzers zu gelangen.


XSS

Nachdem sich ein Benutzer an einer Webapplikation angemeldet hat, verwendet er im Folgenden statt dem Benutzernamen und dem Passwort nur noch eine autorisierte Session-ID. Diese ID wird in einem Cookie hinterlegt. Ziel der Cross Site Scripting Attacke ist es, dieses Cookie mit seinem Inhalt zu stehlen. Dazu baut der Angreifer z. B. in einem Forum Javascript-Code ein, welcher bei Betrachtung der Webseite Daten von einem Anwender nachlädt und seine Cookie-Informationen stiehlt. Bei diesem Ladevorgang veranlasst der Angreifer den Browser des Opfers dessen Cookie-Informationen mitzuliefern. Aus diesen Cookie-Informationen extrahiert sich der Angreifer z.B. die Session-ID und kann sich, solange diese gültig ist, gegenüber der Webapplikation als legitimer Benutzer ausweisen, ohne die Authentifizierungsdaten seines Opfers zu kennen. Hat er sich die Cookie-Informationen eines Administrators gestohlen, so erlangt er auch administrative Rechte.


CSRF

XSS-Schwachstellen werden sehr oft für nachfolgende CSRF-Angriffe (Cross-Site-Request-Forgery) ausgenutzt. Dazu muss das Opfer bei einer Webanwendung angemeldet sein. Sobald der Browser des Opfers einen weiteren Link aufruft, wird dieser so verarbeitet, als hätte ihn das Opfer autorisiert. Dieser zusätzliche Link kann dann beispielsweise eine entsprechend manipulierten Link mit einer XSS-Schwachstelle sein.

Beispielhaft soll ein Gästebuch mit einer Login-Funktion vorgegeben sein. Das Gästebuch soll die Eingaben ungefiltert anzeigen. So ist es für einen Angreifer möglich, HTML-Code in das Gästebuch zu schreiben. Wenn sich nun der Administrator einloggt und und dann im Gästebuch auf diesen Link klickt, wird diese Aktion mit seinen Rechten ausgeführt. Im Link kann dann natürlich alles mögliche versteckt werden, u.a. auch eine XSS-Schwachstelle.


Weblinks


Siehe übergeordnete Stichworte


Siehe auch



Diese Seite wurde zuletzt am 12. Oktober 2015 um 10:53 Uhr von Oliver Wege geändert. Basierend auf der Arbeit von Admin und Pierrre Kroma.

Anzeigen