XSShyökkäys

XSShyökkäys, eli Cross-Site Scripting (XSS) hyökkäys, on eräs yleisimmistä web-sovellusten tietoturvahaavoittuvuuksista. Se hyödyntää sitä, että web-sovellus ei asianmukaisesti validoi tai puhdista käyttäjältä saamaansa syötettä. Hyökkääjä voi tällöin syöttää haitallista skriptikoodia, useimmiten JavaScriptiä, sovelluksen sisään. Kun tämä koodi suoritetaan toisen käyttäjän selaimessa, hyökkääjä voi saada pääsyn käyttäjän sessiotietoihin, kuten evästeisiin, tai suorittaa toimintoja käyttäjän puolesta.

XSS-hyökkäyksiä on olemassa useita tyyppejä. Persistentti (pysyvä) XSS tallentaa haitallisen skriptin palvelimelle, esimerkiksi tietokantaan, ja se suoritetaan aina, kun kyseistä tietoa näytetään käyttäjälle. Non-persistent (ei-pysyvä) XSS sen sijaan liitetään usein URL-osoitteeseen, ja se suoritetaan vain, kun uhri klikkaa kyseistä linkkiä. Reflected (heijastuva) XSS on samankaltainen kuin non-persistent, mutta hyökkääjän syöttämä koodi heijastuu takaisin käyttäjän selaimeen. DOM-based XSS hyödyntää verkkosivun dokumenttiobjektimallia (DOM) haavoittuvuuksien löytämiseen ja hyväksikäyttöön.

XSS-hyökkäysten torjumiseksi kehittäjien tulee aina validoida ja puhdistaa kaikki käyttäjältä tuleva syöte. Myös selaimen tarjoamien tietoturvaominaisuuksien, kuten sisällön turvallisuuspolitiikan (Content Security Policy, CSP), käyttö auttaa vähentämään hyökkäysriskiä. Käyttäjien on myös tärkeää pitää selaimensa ja sen lisäosat ajan tasalla ja varoa epäilyttäviä linkkejä.