Scopriamo il Cross-Site Scripting (XSS) tra codice sorgente ed exploit

Redazione RHC : 28 Giugno 2023 08:23

Il Cross-Site Scripting (XSS) è una vulnerabilità di sicurezza che si verifica quando un attaccante inserisce del codice malevolo (solitamente JavaScript) in una pagina web visualizzata da altri utenti. L’obiettivo dell’attaccante è quello di eseguire codice sul browser dell’utente e di rubare informazioni sensibili come cookie, password e altre informazioni personali.

L’attacco XSS si verifica quando un’applicazione web non valida correttamente o filtra i dati immessi dagli utenti e li utilizza senza alcuna verifica o protezione. In questo caso, l’attaccante può inserire codice malevolo nei campi di input dell’applicazione web, come campi di ricerca o di commento, che poi verranno visualizzati agli utenti che accedono alla stessa pagina web.

I tre principali tipi di Cross-Site Scripting (XSS)

Ci sono tre tipi principali di attacchi XSS:

Stored XSS: in cui il codice malevolo viene immagazzinato su un server e viene eseguito ogni volta che un utente accede alla pagina web in cui è stato inserito.
Reflected XSS: in cui il codice malevolo viene inserito nell’URL della pagina web e viene eseguito quando l’utente accede a tale URL.
DOM-based XSS: in cui il codice malevolo viene eseguito lato client, utilizzando JavaScript, e non viene trasmesso al server.

Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

Creare Un Sistema Ai Di Visual Object Tracking (Hands on)

Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake

Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?

Come Hackerare Un Sito WordPress (Hands on)

Il Cyberbullismo Tra Virtuale E Reale

Come Entrare Nel Dark Web In Sicurezza (Hands on)

Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

L'acquisto del fumetto sul Cybersecurity Awareness

Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Per proteggersi dall’attacco XSS, è importante che le applicazioni web filtrino e validino correttamente i dati immessi dagli utenti e che utilizzino tecniche di protezione come l’encoding delle stringhe di input e l’utilizzo di header HTTP come Content-Security-Policy (CSP). Inoltre, gli utenti devono prestare attenzione ai link sospetti e alle email di phishing che possono contenere codice malevolo.

Un esempio pratico tra codice ed exploit

In questo esempio analizzeremo una semplice vulnerabilità di Cross Site Scripting osservando prima il codice sorgente e poi un exploit che sfrutta la falla di sicurezza.

Ricordiamo sempre che un exploit è un programma o un codice che sfrutta una vulnerabilità presente in un software o sistema per ottenere un accesso non autorizzato o per causare danni al sistema stesso. L’exploit può essere utilizzato da un attaccante per eseguire codice malevolo, rubare informazioni o causare altri danni al sistema.

Ecco un esempio di codice sorgente PHP che contiene una vulnerabilità di XSS:

Benvenuto " . $name . "!";
?>

In questo esempio, il parametro name viene passato come input dal client al server attraverso il metodo GET. Tuttavia, il codice non filtra o valida la variabile name prima di stamparla sulla pagina.

Questo significa che un utente malintenzionato può inserire del codice HTML o JavaScript malevolo nella variabile name, che verrà poi eseguito sul browser dell’utente che accede alla pagina.

Ecco un esempio di exploit che sfrutta questa vulnerabilità:

http://example.com/welcome.php?name=

In questo caso, l’attaccante ha inserito del codice JavaScript tra i tag e nella variabile name. Quando l’utente accede alla pagina, il codice JavaScript viene eseguito automaticamente e visualizza una finestra di alert con il messaggio “XSS”.

In un attacco reale, l’attaccante potrebbe utilizzare questa vulnerabilità per rubare informazioni personali dell’utente, ad esempio utilizzando JavaScript per inviare i cookie dell’utente ad un server controllato dall’attaccante.

Per evitare questa vulnerabilità, il codice dovrebbe filtrare e validare correttamente l’input dell’utente, ad esempio utilizzando la funzione htmlspecialchars() per codificare i caratteri speciali HTML e prevenire l’esecuzione del codice JavaScript inserito dall’utente.

Ad esempio in questo codice,

Come evitare gli attacchi di Cross-Site Scripting

Gli attacchi XSS possono essere prevenuti implementando alcune misure di sicurezza, tra cui:

Validazione dell’input utente: assicurarsi che l’input utente venga validato in modo adeguato, ad esempio utilizzando filtri per rifiutare l’input non valido o limitare la lunghezza dell’input.
Codifica dell’output: assicurarsi che l’output venga correttamente codificato, ad esempio utilizzando la funzione htmlspecialchars() di PHP per convertire i caratteri speciali in entità HTML.
Utilizzo di librerie di prevenzione XSS: molte librerie JavaScript, come jQuery, forniscono metodi per evitare gli attacchi XSS. Ad esempio, jQuery fornisce la funzione .text() per impostare il contenuto di un elemento come testo semplice, evitando così l’inserimento di codice HTML.

Tra le librerie di prevenzione XSS più famose ci sono:

OWASP ESAPI (Enterprise Security API): una libreria Java open source che fornisce metodi per prevenire gli attacchi XSS e altri tipi di attacchi comuni.
DOMPurify: una libreria JavaScript che pulisce il contenuto HTML di una pagina web per rimuovere qualsiasi codice pericoloso.

HTML Purifier: una libreria PHP che valida e pulisce il contenuto HTML di una pagina web per evitare gli attacchi XSS e altri attacchi basati su HTML.

Implementare queste misure di sicurezza può aiutare a prevenire gli attacchi XSS e proteggere il tuo sito web dagli hacker.

L’importanza dello sviluppo sicuro del codice oggi

Lo sviluppo sicuro del codice è un’importante pratica per garantire che i software moderni siano protetti contro le minacce informatiche, come gli attacchi informatici, le vulnerabilità e i bug.

In un mondo sempre più digitale, i software sono presenti in ogni aspetto della vita moderna, dalla gestione dei dati aziendali alle transazioni finanziarie online, dall’assistenza sanitaria all’intrattenimento. Con l’aumento della quantità di informazioni sensibili che vengono scambiate attraverso questi sistemi, la sicurezza dei software diventa sempre più critica.

Lo sviluppo sicuro del codice aiuta a proteggere le informazioni personali, finanziarie e aziendali dagli attacchi informatici, come ad esempio l’hacking, il phishing e l’iniezione di codice malevolo. Questa pratica comprende l’adozione di procedure e tecniche di programmazione che riducono il rischio di vulnerabilità, come la validazione dei dati di input, la gestione sicura delle password e la gestione degli errori.

Inoltre, lo sviluppo sicuro del codice aiuta anche ad aumentare la fiducia degli utenti nei software e nei servizi online, migliorando la reputazione dell’azienda che li fornisce. Ciò può portare ad un maggior utilizzo di questi servizi e a un maggior successo commerciale.

In sintesi, l’importanza dello sviluppo sicuro del codice su software moderni deriva dalla necessità di proteggere le informazioni sensibili, di aumentare la fiducia degli utenti e di garantire la continuità degli affari.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

25 Aprile: Dalla Resistenza alla Cyber Resistenza – Difendiamo la Libertà Digitale

Il 25 Aprile, data simbolo della Liberazione italiana dal fascismo, ci ricorda il valore della libertà, conquistata con il sacrificio di partigiani e combattenti. In un’era dominata dal di...

Le Action Figure della Cyber Security. Red Hot Cyber lancia la serie “Chiama Ammiocuggino!”

In un mondo dove ogni giorno si registrano migliaia di attacchi informatici, molte aziende continuano a sottovalutare l’importanza della cybersecurity, affidandosi a “sedicenti esperti&#...

GPT-4 scrive un exploit prima del PoC pubblico. La corsa alla Patch non è mai stata così essenziale

AI, AI e ancora AI. E sembra che l’intelligenza artificiale giorno dopo giorno ci porti innovazioni sia come difesa ma soprattutto, come attacco. L’intelligenza artificiale è gi...

HackerHood di RHC Rivela due nuovi 0day sui prodotti Zyxel

Il collettivo di ricerca in sicurezza informatica HackerHood, parte dell’universo della community di Red Hot Cyber, ha recentemente scoperto due nuove vulnerabilità ...

A lezione di IA a 6 anni: la Cina prepara i suoi bambini alla rivoluzione dell’intelligenza artificiale

La Cina introdurrà corsi di intelligenza artificiale per gli studenti delle scuole primarie e secondarie questo autunno. L’iniziativa prevede che i bambini a partire dai sei anni imparino ...