Definition Cross Site Scripting (XSS)

Was ist Cross-Site-Scripting (XSS)?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Cross Site Scripting (XSS) ist eine häufig verwendete Angriffsmethode im Internet, bei der Schadcode in eine vermeintlich vertrauenswürdige Webseite eingeschleust wird.
Cross Site Scripting (XSS) ist eine häufig verwendete Angriffsmethode im Internet, bei der Schadcode in eine vermeintlich vertrauenswürdige Webseite eingeschleust wird. (Bild: Pixabay / CC0)

Cross Site Scripting (XSS) ist eine der am häufigsten genutzten Angriffsmethode im Internet. Ziel des webseitenübergreifenden Skriptings ist es, an vertrauliche Daten zu gelangen, Anwendungen zu übernehmen oder sonstigen Schaden anzurichten. XSS bettet den Angriffscode in einen vermeintlich sicheren Kontext ein.

Die Abkürzung XSS steht für Cross Site Scripting und bezeichnet eine der häufigsten Angriffsmethoden im Internet. Durch eine Sicherheitslücke auf dem Client oder den Server gelingt es dem Angreifer, seinen Schadcode in eine vermeintlich vertrauenswürdige Umgebung einzubetten. Mit XSS lassen sich Internetseiten verändern, Browser übernehmen oder vertrauliche Informationen wie Passwörter entwenden.

Cross Site Scripting zählt zu den aktiven Angriffsmethoden und kann als Grundlage für weitere Angriffe verwendet werden. Die Angriffsmethode nutzt die im Internet weit verbreiteten Skriptsprachen wie JavaScript. XSS kann erfolgreich sein, wenn die Webanwendung die entgegengenommenen Daten nicht ausreichend prüft und sie anschließend weiterverarbeitet oder weiterreicht. So lassen sich Skripte an einen Webserver oder an einen Browser senden, der diese ausführt. Cross Site Scripting unterscheidet drei verschiedene Angriffsarten. Diese sind:

  • reflektiertes XSS
  • persistentes XSS
  • lokales XSS

Reflektiertes Cross Site Scripting

Reflektiertes Cross Site Scripting läuft serverseitig ab. Ein Opfer klickt eine präparierte URL an, in der schädlicher Code eingefügt ist. Der Server übernimmt diesen Code aufgrund mangelnder Absicherung und generiert eine dynamisch veränderte Webseite. Der Anwender sieht eine vom Angreifer manipulierte Webseite und hält sie für vertrauenswürdig. Von ihm gemachte Eingaben lassen sich anschließend beispielsweise an einen Server des Angreifers weiterleiten.

Reflektiertes Cross Site Scripting lässt sich sehr gut für Phishing-Angriffe verwenden. Da der Nutzer die durch XSS veränderten Webseiten für echt hält, hegt er keinen Verdacht und gibt vertrauliche Anmeldedaten ein, die der Angreifer erhält.

Persistentes Cross Site Scripting

Beim persistenten XSS ist ebenfalls eine Sicherheitslücke auf dem Server der Ausgangspunkt des Angriffs. Der Angreifer übergibt den Schadcode durch das Aufrufen eines manipulierten Links an den Server. Dieser speichert anschließend die Veränderungen dauerhaft (persistent) in seiner Datenbank. Der Anwender selbst muss keinen manipulierten Link aufrufen. Durch die Veränderung der Datenbank des Webservers können allen Besuchern beim Aufruf des regulären Links manipulierte Seiten angezeigt werden.

Oft nutzen Angreifer ungenügend geschützte Foren auf dem Webserver, um ihren Code zu übermitteln. Ein einfacher Foreneintrag mit dem schädlichen Skriptcode kann schon ausreichend sein. Anschließend kann der manipulierte Webserver dazu verwendet werden, Zugangsdaten von Anwendern abzugreifen.

Lokales Cross Site Scripting

Für lokales XSS ist keine Sicherheitslücke auf einem Webserver erforderlich. Der Schadcode wird direkt an den Anwender gesendet und beispielsweise im Browser ausgeführt, ohne dass der User dies bemerkt. Ausgangspunkt des Angriffs ist das Anklicken eines manipulierten Links durch den Anwender. Aufgrund des im Browser platzierten Scripts, lassen sich auch statische Webseiten in veränderter Form auf dem Clientrechner anzeigen. Besitzt der Browser besondere Rechte auf dem Rechner, ist es zudem möglich, lokale Daten auf dem Gerät zu verändern.

Ein möglicher Angriff per lokalem Cross Site Scripting kann folgendermaßen ablaufen. Ein Anwender bekommt per Mail einen manipulierten Link geschickt und klickt diesen an. Durch das Öffnen des Links integriert der Browser ein clientseitiges JavaScript, das die schädliche Anwendung startet.

Schutzmaßnahmen gegen XSS

Clientseitig kann man sich gegen lokales Cross Site Scripting schützen, indem man dem Browser verbietet, Skripte wie JavaScript auszuführen. Zudem sind Addons für Browser erhältlich, die die Ausführung von Skripten unterbinden. Grundsätzlich ist es wichtig, per E-Mail empfangene Links kritisch zu prüfen und nicht beliebig aufzurufen. Webmaster schützen ihre Server vor reflektiertem oder persistentem Cross Site Scripting durch Absicherung des Server-Quellcodes. Sämtliche vom Server zu verarbeitenden Daten sind vor der Ausführung zu prüfen. Hierfür lassen sich Whitelists mit den erlaubten Daten einsetzen. Auch das generelle Umwandeln von bestimmten Skript-Zeichen ist eine beliebte Methode. Dies verhindert, dass ausführbare Metazeichen der Skripte vom Server eingelesen werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Patchday beseitigt 36 CVE-Schwachstellen

Microsoft Patchday Dezember 2019

Patchday beseitigt 36 CVE-Schwachstellen

Zum letzten Patchday des Jahres stellt Microsoft im Dezember 2019 verschiedene Updates für Windows-Betriebssysteme zur Verfügung, die insgesamt 36 CVEs betreffen, darunter 7 kritische und 28 wichtige Sicherheitslücken. lesen

Sichere Softwareentwicklung beginnt im Kleinen

Wi-Fi- und Code-Schwachstellen bei Kinder-Tablets

Sichere Softwareentwicklung beginnt im Kleinen

Bei Tablets mit Lern- und Spiele-Apps verlassen sich Eltern darauf, dass die Geräte gefährliche Inhalte filtern und Apps abgesichert sind. Doch auch hier finden sich Sicherheitslücken, wie das Checkmarx Security Research Team am Beispiel des LeapPad Ultimate von LeapFrog zeigen konnte. lesen

Die beliebtesten Web Application Firewalls 2019

IT-Awards 2019

Die beliebtesten Web Application Firewalls 2019

Laut der Studie „The State of Web Application Firewalls (WAFs)“ des Ponemon Institutes im Auftrag von Cequence Security nimmt der Bedarf an modernen WAFs zu. So gaben 56 Prozent der Teilnehmer an, dass Angriffe auf Applikationsebene ihre vorhandene WAF manchmal oder sogar regelmäßig umgehen. Dementsprechend sind anpassungsfähige Lösungen gefragt. lesen

59 Sicherheitslücken werden von Microsoft geschlossen

Microsoft Patchday Oktober 2019

59 Sicherheitslücken werden von Microsoft geschlossen

Am Patchday Oktober 2019 stellt Microsoft verschiedene Updates für Windows-Betriebssysteme zur Verfügung, die insgesamt 59 CVEs betreffen. Neben Updates für Windows werden auch Lücken in Microsoft SQL Server und Office geschlossen. lesen

Web Application Security mit Open Source

Wapiti, W3af und Arachni

Web Application Security mit Open Source

Mit den drei Open Source-Tools Wapiti, W3af und Arachni lässt sich die Sicherheit von Webanwendungen überprüfen und verbessern. Die drei Tools stehen kostenlos zur Verfügung und bieten unterschiedliche Funktionen. lesen

Grundsätze für sichere Softwareentwicklung

Sichere Softwareentwicklung – Teil 1

Grundsätze für sichere Softwareentwicklung

Viele Onlinedienste und Websites sind anfällig für Angriffe. Die Entwicklung moderner Software für Webanwendungen ist heutzutage so komplex, dass Fehler trotz intensiver Prüfung nicht oder nur schwer erkennbar sind. Das demonstrierte auch die Heartbleed-Schwachstelle in der Open-Source-Bibliothek OpenSSL eindrucksvoll. Wir zeigen die gängigen Herausforderungen, mit denen Entwickler konfrontiert sind und wie man sie bewältigt. lesen

Zunahme bei Mac-Malware, bösartigen Office-Dokumenten und Web Application Exploits

WatchGuard Internet Security Report Q1/2019

Zunahme bei Mac-Malware, bösartigen Office-Dokumenten und Web Application Exploits

62 Prozent mehr Malware im Vergleich zum Vorquartal und Cyberkriminelle, die zunehmend verschiedene Angriffstechniken kombinieren – der vierteljährliche Internet Security Report von WatchGuard für das erste Quartal 2019 zeichnet ein klares Bild der aktuellen Bedrohungssituation. lesen

WAF, cIAM und API-Gateway müssen Hand in Hand gehen

[Gesponsert]

Ein Secure Access Hub schützt gegen alle Sicherheitsvorfälle

WAF, cIAM und API-Gateway müssen Hand in Hand gehen

Die Kombination einer Web Application Firewall, eines Identity & Access Managements und eines API Gateways bietet ein zeitgemäßes Paket gegen Angriffe auf Applikationen und Schnittstellen, das zusätzlich zur Security noch weitere Vorteile bietet. lesen

Hacker übernehmen Raffinerien und Hochregallager

Angriff auf die Infrastruktur

Hacker übernehmen Raffinerien und Hochregallager

Industrielle Steuerungsanlagen sind omnipräsent. Sie steuern praktisch alle großindustriellen Produktionsprozesse, aber auch die Logistik. Sie beladen Schiffe und regeln jene Pipelines, die uns mit Erdgas und Erdöl versorgen. Überwacht werden sie von SCADA-Systemen, die heute wiederum mit der Büro-IT vernetzt sind. Das birgt Risiken. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 45208724 / Definitionen)