Gemeinsame Abwehrmaßnahmen gegen XSS

Eingabe- und Ausgabebereinigung sind entscheidende Techniken zur Verhinderung von Cross-Site Scripting (XSS)-Angriffen. In diesem Artikel werden die weit verbreiteten Methoden untersucht, die in der Industrie und auf privaten Websites eingesetzt werden, um diese Bedrohung zu mindern.

1. HTML-Escape:

Escapen Sie alle Benutzereingaben gründlich, bevor Sie sie als HTML-Code anzeigen. Dabei werden Zeichen wie „“, „&“ und „ durch die entsprechenden HTML-Entitäten ersetzt (z. B. „“, „&“, „““). Serverseitige Sprachen bieten oft integrierte Funktionen für HTML-Escape.

2. Attributvalidierung:

Validieren Sie alle Attribute in HTML-Tags, um sicherzustellen, dass sie keine potenziell schädlichen Zeichen enthalten. Dazu gehört das Verbot nicht vertrauenswürdiger Eingaben in Attributen, die nicht in Anführungszeichen stehen oder als JavaScript interpretiert werden (z. B. onload, onmouseover).

3. URL- und CSS-Wertvalidierung:

In ähnlicher Weise validieren Sie URLs, CSS-Stylesheet-URLs und CSS-Werte. Hüten Sie sich vor Protokollen wie „javascript:“ und Ausdrücken, die die Ausführung von Schadcode ermöglichen könnten.

4. Vom Benutzer bereitgestelltes HTML einschränken:

Vermeiden Sie nach Möglichkeit das Zulassen von vom Benutzer bereitgestelltem HTML. Verwenden Sie bei Bedarf ein wirksames Desinfektionsmittel wie AntiSamy, um eine sichere Verarbeitung der Eingaben zu gewährleisten.

5. DOM-basiertes XSS verhindern:

Fügen Sie keine Benutzereingaben in JavaScript-generierten HTML-Code ein. Verwenden Sie DOM-Methoden, um es als Text einzufügen, nicht als HTML.

6. Nur-HTTP-Cookies und Programmierschulung:

Nur-HTTP-Cookies können XSS-Angriffe bis zu einem gewissen Grad verhindern. Darüber hinaus ist die Bereitstellung von Sicherheitsschulungen für Programmierer von entscheidender Bedeutung, um das Bewusstsein zu schärfen und zukünftige Schwachstellen zu verhindern.

Durch die Implementierung dieser Praktiken können Websites ihre Abwehrkräfte gegen böswillige Cross-Site-Scripting-Versuche stärken und Benutzerinformationen schützen.