XSS (Cross site scripting) là một lỗ hổng ứng dụng web trong đó một người dùng cuối có thể tấn công bằng cách chèn vào các website động (ASP, PHP, CGI, JSP .) những thẻ HTML hay những đoạn mã script nguy hiểm có thể gây nguy hại cho những người sử dụng khác. Bài viết này trình bày một nghiên cứu chuyên sâu trong sự nguy hiểm của lỗ hổng XSS và cách khai thác lỗ hổng, nó cũng giới thiệu các biện pháp khắc phục các cuộc tấn công XSS. | LỖ HỔNG CROSS SITE SCRIPTING XSS TẤN CÔNG VÀ CÁC BIỆN PHÁP KHẮC PHỤC KS. Nguyễn Ngọc Quân Tổ NCPT An toàn thông tin Tóm tắt XSS Cross site scripting là một lỗ hổng ứng dụng web trong đó một người dùng cuối có thể tấn công bằng cách chèn vào các website động ASP PHP CGI JSP . những thẻ HTML hay những đoạn mã script nguy hiểm có thể gây nguy hại cho những người sử dụng khác. Lỗ hổng XSS đã tồn tại từ lâu nhưng kịch bản hiện nay vẫn có thể thực hiện với những kiểu tấn công mới trong tương lai. Bài viết này trình bày một nghiên cứu chuyên sâu trong sự nguy hiểm của lỗ hổng XSS và cách khai thác lỗ hổng nó cũng giới thiệu các biện pháp khắc phục các cuộc tấn công XSS. 1. GIỚI THIỆU Phần 4 cung cấp mô tả về một số lỗ hổng bảo mật mới và thú vị được tìm thấy trên các Với sự ra đời của công nghệ phát triển trang web gần đây và làm thế nào để có thể web động cùng với việc sử dụng ngày càng khai thác . Trong Phần 5 bài báo đã liệt kê nhiều các ứng dụng web thì cũng gây ra một vài biện pháp khắc phục có thể được nhiều lỗ hổng hơn cho Web. Cross Site thực hiện trên phía máy chủ cũng như trên Scripting gọi tắt là CSS hay thường là XSS các client để bảo vệ một trang web hay ứng là một trong những cuộc tấn công tiêm mã dụng từ các lỗ hổng XSS và cuối cùng là kết phổ biến nhất. XSS là một lỗ hổng dựa trên luận. việc tiêm mã - Injection được tìm thấy trong các ứng dụng web trong đó các mã độc 2. NỘI DUNG NGHIÊN CỨU hại được tiêm như các biến đầu vào vào Ở đây bài báo trình bày một phân tích payload. Khi người dùng hợp pháp truy cập ngắn gọn về các framework phổ biến khác vào một ứng dụng web bị lây nhiễm các mã nhau mà tồn tại cho việc phát hiện ra các lỗ độc hại được lặp lại cho trình duyệt của hổng XSS trong các ứng dụng web và cách người dùng. Mã tiêm có khả năng đọc thay khai thác chúng. Chúng làm việc bằng cách đổi và truyền tải dữ liệu được phân loại truy injecting các payload và chạy các script trên cập bằng trình duyệt như cookies session lỗ hổng web. tokens. . Xenotix
