Cross-Site Scripting (XSS)

Cross-Site Scripting (XSS)

1. Vector de ataque

   • Herramientas automatizadas
     • Detectan y explotan las tres formas de XSS
       • Kits de explotación gratuitos
         • Explotabilidad: 3

2. Debilidades de seguridad

   • XSS es la 2da vulnerabilidad más frecuente
     • Las herramientas que detectan falencias XSS
       • Tecnologías maduras como:
         • J2EE / JSP
         • ASP.NET
         • PHP
           • Prevalencia: 3
           • Detectabilidad: 3

3. Impacto

   • Moderado en caso de:
     • XSS reflejado
     • XSS en DOM
   • Severo en caso de:
     • XSS Almacenado
       • Puesto que
         • Ejecuta comandos
           • Navegador de la victima
             • Con el fin de:
               • Instalar software malicioso
               • Secuestrar sesiones
               • Robar credenciales

4. Vulnerabilidad

   • Tres formas de XSS para atacar los navegadores de los usuarios
     • XSS Reflejado
       • Utiliza datos sin validar
         • Suministrado por el usuario
       • No existen cabeceras seguras
         • Política de Seguridad de Contenido (CSP)
       • Posible ataque
         • Ejecuta comandos arbitrarios
           • HTML
           • JavaScript
     • XSS Almacenado
       • Almacena datos dados por del usuario
         • Sin validar
         • Sin sanear
         • Datos manipulados por un administrador
           • Genera un riesgo crítico
     • XSS Basado en DOM
       • Aplicaciones de páginas únicas
       • frameworks en Javascript
       • APls
         • Incluyen datos controlables para un atacante
           • Evitar procesar datos
             • En APls no seguras

5. Como se previene

   • Mantener los datos no confiables separados del navegador
     • Usar frameworks seguros
   • Codificar los datos
     • De los requerimientos no confiables
       • En campos de salida HTML
         • Cuerpo
         • Atributos
         • JavaScript
         • CSS
         • URL
   • Aplicar codificación sensitiva
   • Habilitar una Política de Seguridad de Contenido (CSP)