Cross-Site Scripting (XSS)

Es una vulnerabilidad web crítica que permite a un atacante inyectar scripts maliciosos en páginas web vistas por otros usuarios. Estos scripts se ejecutan en el navegador del usuario, lo que puede conducir a una variedad de acciones maliciosas, como robo de cookies de sesión, redirección a sitios web maliciosos, robo de información confidencial, entre otros.

Dentro de los riesgos de seguridad que presentan las aplicaciones web, esta vulnerabilidad se encuentra en tercera posición, listada como A03:2021 – Injection dentro del informe Top 10 de 2021, que facilitó el proyecto abierto de seguridad de aplicaciones web OWASP y categorizada como CWE-79 dentro del sistema de debilidades y vulnerabilidades de software CWE.

Estos ataques tienen éxito si la aplicación web no emplea suficiente validación o codificación. El navegador del usuario no puede detectar que el script malicioso no es de confianza, por lo que le da acceso a cualquier cookie, tokens de sesión u otra información sensible específica del sitio, o deja que el script malicioso reescriba el contenido HTML.

Los ataques XSS suelen producirse cuando los datos entran en una aplicación web a través de una fuente no fiable (casi siempre una petición web) o se envía contenido dinámico a un usuario web sin validarlo en busca de contenido malicioso.

El contenido malicioso suele incluir JavaScript, pero a veces también HTML, Flash o cualquier otro código que el navegador pueda ejecutar. La variedad de ataques basados en XSS es casi ilimitada, pero suelen incluir la transmisión al atacante de datos privados como cookies u otra información de sesión, la redirección de la víctima a una página web controlada por el atacante o la realización de otras operaciones maliciosas en la máquina del usuario bajo la apariencia del sitio vulnerable.

Que tipos existen?

Existen tres tipos principales de ataques XSS.

Reflected XSS

• En este tipo de ataque, el script malicioso es enviado al servidor a través de una solicitud HTTP, generalmente a través de una URL o campo de un formulario.

• El servidor web procesa la solicitud y refleja el script malicioso en el navegador del usuario como parte de la respuesta.

• Por último el navegador del usuario ejecuta el script malicioso ejecutando una acción no deseada.

Stored XSS

• En este tipo de ataque, el script malicioso se almacena en el servidor web, por ejemplo, en una base de datos o en un sistema de gestión de contenido.

• Cuando un usuario accede a la página que contiene el script malicioso, este se entrega al navegador del usuario y se ejecuta, lo que permite al atacante realizar acciones maliciosas.

• Este tipo de ataque puede ser más peligroso que el XSS Reflected, ya que el script puede afectar a múltiples usuarios que visitan la misma página.

DOM-based XSS

• Este tipo de ataque ocurre cuando el atacante explota una vulnerabilidad en el código JavaScript de la página web para realizar modificaciones en el DOM del cliente de manera dinámica.

• A diferencia del Reflected XSS y Stored XSS, el DOM-based XSS no involucra la comunicación con el servidor. En su lugar, el ataque se realiza únicamente en el lado del cliente.

PoC

En este apartado veremos una breve demostración de como se realiza un ataque simple XSS Reflected.

Supongamos que un sitio web tiene una función de búsqueda que recibe el término de búsqueda proporcionado por el usuario en un parámetro de URL:

https://ejemplo.com/search?producto=ejemplo

Un payload XSS Reflected básico sería el siguiente:

<script>alert("XSS")</script>

Suponiendo que la aplicación no realiza ningún otro procesamiento de los datos, un atacante podría inyectar el payload malicioso dando lugar a un XSS Reflected.

https://ejemplo.com/search?producto=<script>alert("XSS")</script>

Dado esto, el payload proporcionado por el atacante se ejecutará en el navegador del usuario víctima, en el contexto de su sesión con la aplicación.

Robo de una cookie

Para realizar el robo de una cookie de sesión de un usuario mediante un XSS tenemos el payload básico que sería la siguiente:

<script>alert(document.cookie)</script>

Mitigación

Para evitar ser vulnerables a XSS es posible implementar una serie de medidas de seguridad.

1. Validación y sanitización de entradas: Implementar validación estricta en todos los campos de entrada para evitar que los usuarios introduzcan scripts maliciosos.

2. Escapado de caracteres: Utilizar funciones de escapado de caracteres apropiadas al renderizar datos en la salida HTML. Esto asegura que cualquier contenido dinámico se trate como datos, no como código ejecutable.

3. Headers HTTP: Configurar correctamente los encabezados HTTP de seguridad, como Content Security Policy (CSP), para limitar qué recursos pueden ser cargados por la página y desde dónde pueden ser cargados.

4. Limitar cookies y scripts de terceros: Limitar el uso de cookies y scripts de terceros en las páginas web, ya que pueden introducir vectores de ataque XSS.