XSShyökkäyksissä

XSShyökkäys, eli Cross-Site Scripting, on yleinen tietoturvahaavoittuvuus verkkosovelluksissa. Hyökkääjä voi hyödyntää tätä haavoittuvuutta syöttämällä haitallista skriptikoodia, yleensä JavaScriptiä, verkkosivulle, jonka muut käyttäjät sitten lataavat. Kun haavoittuva sivu ladataan uhrin selaimessa, haitallinen skripti suoritetaan uhrin selaimessa, aivan kuin se olisi peräisin luotetulta sivustolta.

Tämän seurauksena hyökkääjä voi saada pääsyn uhrin selaintietoihin, kuten evästeisiin, istuntotietoihin ja muihin arkaluontoisiin tietoihin. Tämä mahdollistaa esimerkiksi istunnon sieppaamisen, jolloin hyökkääjä voi esiintyä uhrina ja toimia tämän nimissä sivustolla. XSShyökkäykset voivat myös ohjata käyttäjiä haitallisille sivustoille, muokata sivuston sisältöä tai suorittaa muita haitallisia toimintoja uhrin puolesta.

XSShyökkäykset luokitellaan yleensä kolmeen päätyyppiin: tallennettu (stored) XSS, heijastettu (reflected) XSS ja DOM-pohjainen (DOM-based) XSS. Tallennetussa XSS:ssä haitallinen koodi tallennetaan pysyvästi palvelimelle, esimerkiksi käyttäjän antamiin kommentteihin tai profiilitietoihin. Heijastetussa XSS:ssä haitallinen koodi sisältyy pyyntöön, kuten URL-osoitteeseen, ja se heijastuu takaisin käyttäjälle. DOM-pohjainen XSS hyödyntää selaimen Document Object Model -manipulointia. Verkkokehittäjät voivat ehkäistä XSShyökkäyksiä puhdistamalla käyttäjien syöttämät tiedot ennen niiden näyttämistä tai tallentamista, käyttämällä asianmukaisia validointeja ja turvaominaisuuksia, kuten sisältöturvakäytäntöjä (Content Security Policy, CSP).