Definition Cross Site Scripting (XSS)

Was ist Cross-Site-Scripting (XSS)?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Cross Site Scripting (XSS) ist eine häufig verwendete Angriffsmethode im Internet, bei der Schadcode in eine vermeintlich vertrauenswürdige Webseite eingeschleust wird.
Cross Site Scripting (XSS) ist eine häufig verwendete Angriffsmethode im Internet, bei der Schadcode in eine vermeintlich vertrauenswürdige Webseite eingeschleust wird. (Bild: Pixabay / CC0)

Cross Site Scripting (XSS) ist eine der am häufigsten genutzten Angriffsmethode im Internet. Ziel des webseitenübergreifenden Skriptings ist es, an vertrauliche Daten zu gelangen, Anwendungen zu übernehmen oder sonstigen Schaden anzurichten. XSS bettet den Angriffscode in einen vermeintlich sicheren Kontext ein.

Die Abkürzung XSS steht für Cross Site Scripting und bezeichnet eine der häufigsten Angriffsmethoden im Internet. Durch eine Sicherheitslücke auf dem Client oder den Server gelingt es dem Angreifer, seinen Schadcode in eine vermeintlich vertrauenswürdige Umgebung einzubetten. Mit XSS lassen sich Internetseiten verändern, Browser übernehmen oder vertrauliche Informationen wie Passwörter entwenden.

Cross Site Scripting zählt zu den aktiven Angriffsmethoden und kann als Grundlage für weitere Angriffe verwendet werden. Die Angriffsmethode nutzt die im Internet weit verbreiteten Skriptsprachen wie JavaScript. XSS kann erfolgreich sein, wenn die Webanwendung die entgegengenommenen Daten nicht ausreichend prüft und sie anschließend weiterverarbeitet oder weiterreicht. So lassen sich Skripte an einen Webserver oder an einen Browser senden, der diese ausführt. Cross Site Scripting unterscheidet drei verschiedene Angriffsarten. Diese sind:

  • reflektiertes XSS
  • persistentes XSS
  • lokales XSS

Reflektiertes Cross Site Scripting

Reflektiertes Cross Site Scripting läuft serverseitig ab. Ein Opfer klickt eine präparierte URL an, in der schädlicher Code eingefügt ist. Der Server übernimmt diesen Code aufgrund mangelnder Absicherung und generiert eine dynamisch veränderte Webseite. Der Anwender sieht eine vom Angreifer manipulierte Webseite und hält sie für vertrauenswürdig. Von ihm gemachte Eingaben lassen sich anschließend beispielsweise an einen Server des Angreifers weiterleiten.

Reflektiertes Cross Site Scripting lässt sich sehr gut für Phishing-Angriffe verwenden. Da der Nutzer die durch XSS veränderten Webseiten für echt hält, hegt er keinen Verdacht und gibt vertrauliche Anmeldedaten ein, die der Angreifer erhält.

Persistentes Cross Site Scripting

Beim persistenten XSS ist ebenfalls eine Sicherheitslücke auf dem Server der Ausgangspunkt des Angriffs. Der Angreifer übergibt den Schadcode durch das Aufrufen eines manipulierten Links an den Server. Dieser speichert anschließend die Veränderungen dauerhaft (persistent) in seiner Datenbank. Der Anwender selbst muss keinen manipulierten Link aufrufen. Durch die Veränderung der Datenbank des Webservers können allen Besuchern beim Aufruf des regulären Links manipulierte Seiten angezeigt werden.

Oft nutzen Angreifer ungenügend geschützte Foren auf dem Webserver, um ihren Code zu übermitteln. Ein einfacher Foreneintrag mit dem schädlichen Skriptcode kann schon ausreichend sein. Anschließend kann der manipulierte Webserver dazu verwendet werden, Zugangsdaten von Anwendern abzugreifen.

Lokales Cross Site Scripting

Für lokales XSS ist keine Sicherheitslücke auf einem Webserver erforderlich. Der Schadcode wird direkt an den Anwender gesendet und beispielsweise im Browser ausgeführt, ohne dass der User dies bemerkt. Ausgangspunkt des Angriffs ist das Anklicken eines manipulierten Links durch den Anwender. Aufgrund des im Browser platzierten Scripts, lassen sich auch statische Webseiten in veränderter Form auf dem Clientrechner anzeigen. Besitzt der Browser besondere Rechte auf dem Rechner, ist es zudem möglich, lokale Daten auf dem Gerät zu verändern.

Ein möglicher Angriff per lokalem Cross Site Scripting kann folgendermaßen ablaufen. Ein Anwender bekommt per Mail einen manipulierten Link geschickt und klickt diesen an. Durch das Öffnen des Links integriert der Browser ein clientseitiges JavaScript, das die schädliche Anwendung startet.

Schutzmaßnahmen gegen XSS

Clientseitig kann man sich gegen lokales Cross Site Scripting schützen, indem man dem Browser verbietet, Skripte wie JavaScript auszuführen. Zudem sind Addons für Browser erhältlich, die die Ausführung von Skripten unterbinden. Grundsätzlich ist es wichtig, per E-Mail empfangene Links kritisch zu prüfen und nicht beliebig aufzurufen. Webmaster schützen ihre Server vor reflektiertem oder persistentem Cross Site Scripting durch Absicherung des Server-Quellcodes. Sämtliche vom Server zu verarbeitenden Daten sind vor der Ausführung zu prüfen. Hierfür lassen sich Whitelists mit den erlaubten Daten einsetzen. Auch das generelle Umwandeln von bestimmten Skript-Zeichen ist eine beliebte Methode. Dies verhindert, dass ausführbare Metazeichen der Skripte vom Server eingelesen werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Zunahme bei Mac-Malware, bösartigen Office-Dokumenten und Web Application Exploits

WatchGuard Internet Security Report Q1/2019

Zunahme bei Mac-Malware, bösartigen Office-Dokumenten und Web Application Exploits

62 Prozent mehr Malware im Vergleich zum Vorquartal und Cyberkriminelle, die zunehmend verschiedene Angriffstechniken kombinieren – der vierteljährliche Internet Security Report von WatchGuard für das erste Quartal 2019 zeichnet ein klares Bild der aktuellen Bedrohungssituation. lesen

WAF, cIAM und API-Gateway müssen Hand in Hand gehen

[Gesponsert]

Ein Secure Access Hub schützt gegen alle Sicherheitsvorfälle

WAF, cIAM und API-Gateway müssen Hand in Hand gehen

Die Kombination einer Web Application Firewall, eines Identity & Access Managements und eines API Gateways bietet ein zeitgemäßes Paket gegen Angriffe auf Applikationen und Schnittstellen, das zusätzlich zur Security noch weitere Vorteile bietet. lesen

Hacker übernehmen Raffinerien und Hochregallager

Angriff auf die Infrastruktur

Hacker übernehmen Raffinerien und Hochregallager

Industrielle Steuerungsanlagen sind omnipräsent. Sie steuern praktisch alle großindustriellen Produktionsprozesse, aber auch die Logistik. Sie beladen Schiffe und regeln jene Pipelines, die uns mit Erdgas und Erdöl versorgen. Überwacht werden sie von SCADA-Systemen, die heute wiederum mit der Büro-IT vernetzt sind. Das birgt Risiken. lesen

Lösungsstrategien für die optimale Websicherheit

Schwachstellen-Management

Lösungsstrategien für die optimale Websicherheit

Cyberangriffe wurden 2018 vom Weltwirtschaftsforum als größter Risikofaktor eingestuft. Das größte Problem sind dabei vor allem webbasierte Angriffe. Da die Mehrheit der Unternehmen ihre Geschäfte über das Internet abwickelt, kann der Aufwand für vollständige Transparenz bei gleichzeitiger kompletter Sicherheit extrem hoch sein. lesen

Update für das SAST-Tool Coverity

Statisches Security Testing besser skalierbar

Update für das SAST-Tool Coverity

Das Tool für statische Application Security Tests Coverity ist in einer neuen Version erschienen. Mehr Skalierbarkeit, der Support weiterer Programmiersprachen und Frameworks sowie eine bessere Schwachstellenanalyse waren die Gründe für die Aktualisierung. lesen

Passwortfreie Authentifizierung mit Remme.io

Das Ende der PKI?

Passwortfreie Authentifizierung mit Remme.io

Ein kleines Startup namens Remme.io hat sich für die vielen Unzulänglichkeiten der PKI eine innovative Lösung einfallen lassen. Die Vision der passwortfreien Authentifizierung soll durch private Schlüssel, verteilte Zertifikate und eine öffentliche Blockchain auf der Basis von Hyperledger Sawtooth Realität werden. lesen

Die beliebtesten Web Application Firewalls 2018

IT-Awards 2018

Die beliebtesten Web Application Firewalls 2018

Wer seine Webanwendungen wirksam vor unerwünschten Zugriffen schützen will, nutzt eine Web Application Firewall (WAF). Moderne Web Application Firewalls überwachen den Datenverkehr auf Anwen­dungs­ebene direkt auf dem jeweiligen Webserver und greifen ein, sobald verdächtige Aktivitäten im Traffic auffallen. lesen

Kontrollierte Zerstörung

Security-Startups im Blickpunkt: Crashtest Security

Kontrollierte Zerstörung

Im Automobilbau gehört ein Crashtest inzwischen zum Standardrepertoire bei der Entwicklung neuer Fahrzeuge. Beim Betrieb von Webanwendungen empfiehlt das Münchner Startup-Unternehmen Crashtest Security einen ähnlichen Ansatz: Anwendung einem Penetrationstest zu unterziehen und Schwachstellen aufdecken, bevor ein Hacker sie zu bösartigen Zwecken missbrauchen kann. lesen

Sicherheit für Web­an­wen­dungen mit Zed Attack Proxy

Tool-Tipp: OWASP Zed Attack Proxy (ZAP)

Sicherheit für Web­an­wen­dungen mit Zed Attack Proxy

Administratoren oder Entwickler, die Webanwendungen betreiben, kämpfen ständig mit Sicherheitslücken. Das Open-Source-Tool „Zed Attack Proxy“ (ZAP) gehört zum „Open Web Application Security Project“ (OWASP) und ermöglicht automatisiert Web-Apps auf Sicherheitslücken zu überprüfen und Angriffe durchzuführen. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45208724 / Definitionen)