XSS

XSS – Was ist das?

XSS steht für Cross-Site Scripting und beschreibt eine Angriffsmethode, bei der schädlicher Code in eine Webanwendung eingeschleust und im Browser eines Nutzers ausgeführt werden kann. Dabei gelingt es einem Angreifer, schädlichen Code in eine Website einzuschleusen, der anschliessend im Browser eines Besuchers ausgeführt werden kann. Betroffen sind insbesondere Websites und Webanwendungen, die Nutzereingaben nicht ausreichend prüfen, verarbeiten oder sicher ausgeben.

Cross-Site Scripting kann unter anderem dazu genutzt werden, Inhalte einer Website zu manipulieren, Nutzerinteraktionen auszulesen oder Aktionen im Namen eines betroffenen Besuchers auszuführen. Je nach Art und Ausprägung kann eine solche Sicherheitslücke erhebliche Auswirkungen auf die Sicherheit einer Webanwendung haben.

Welche Arten von XSS gibt es?

Grundsätzlich werden drei Formen unterschieden: Stored XSS, Reflected XSS und DOM-based XSS. Bei Stored Angriff wird schädlicher Code beispielsweise dauerhaft in einer Datenbank gespeichert und später an andere Nutzer ausgeliefert. Bei einem Reflected Angriff wird dagegen beispielsweise über eine manipulierte Anfrage direkt an den Browser zurückgegeben.

DOM-based Cross-Site Scripting entsteht die Schwachstelle auf Client-Seite, wenn nicht vertrauenswürdige Daten unsicher in das Document Object Model (DOM) einer Website eingebunden werden.

Wie lässt sich XSS verhindern?

Eine wichtige Schutzmassnahme ist die sichere Verarbeitung und Ausgabe von Nutzereingaben. Dazu gehören unter anderem eine geeignete Validierung, kontextabhängige Output-Kodierung und die sichere Verarbeitung von HTML-Inhalten. Auch moderne Webframeworks bieten teilweise Schutzmechanismen, müssen aber korrekt eingesetzt werden.

Zusätzlich kann eine Content Security Policy (CSP) als weitere Sicherheitsebene eingesetzt werden. Sie ersetzt jedoch keine sichere Programmierung und sollte als ergänzende Schutzmassnahme verstanden werden.

XSS ist damit vor allem ein Thema der Websicherheit und sicheren Webentwicklung. Regelmässige Sicherheitsprüfungen helfen dabei, Schwachstellen frühzeitig zu erkennen und zu beheben.