Défenses communes contre XSS

La désinfection des entrées et des sorties est des techniques cruciales pour empêcher les attaques de type Cross-Site Scripting (XSS). Cet article explore les méthodes largement adoptées et utilisées dans les sites Web industriels et personnels pour atténuer cette menace.

1. Échappage HTML :

Échapper complètement à toutes les entrées de l'utilisateur avant de les afficher sous forme de code HTML. Cela implique de remplacer des caractères tels que "", "&" et " par leurs entités HTML correspondantes (par exemple, "", "&", """). Les langages côté serveur fournissent souvent des fonctions intégrées pour l'échappement HTML.

2. Validation des attributs :

Validez tous les attributs des balises HTML pour vous assurer qu'ils ne contiennent pas de caractères potentiellement malveillants. Cela inclut l'interdiction des entrées non fiables dans les attributs non cités ou ceux interprétés comme JavaScript (par exemple, onload, onmouseover).

3. Validation des URL et des valeurs CSS :

De même, validez les URL, les URL des feuilles de style CSS et les valeurs CSS. Méfiez-vous des protocoles tels que « javascript : » et des expressions qui peuvent permettre l'exécution de code malveillant.

4. Restreindre le HTML fourni par l'utilisateur :

Évitez si possible d'autoriser le HTML fourni par l'utilisateur. Si nécessaire, utilisez un désinfectant robuste comme AntiSamy pour garantir un traitement sûr des entrées.

5. Empêcher les XSS basés sur DOM :

N'injectez pas de saisie utilisateur dans le code HTML généré par JavaScript. Utilisez les méthodes DOM pour l'insérer sous forme de texte, pas de HTML.

6. Cookies HTTP uniquement et formation des programmeurs :

Les cookies HTTP uniquement peuvent entraver les attaques XSS dans une certaine mesure. De plus, il est essentiel de fournir une formation à la sécurité aux programmeurs pour les sensibiliser et prévenir de futures vulnérabilités.

En mettant en œuvre ces pratiques, les sites Web peuvent renforcer leurs défenses contre les tentatives malveillantes de scripts intersites et protéger les informations des utilisateurs.