1

Quisiera saber que puedo aplicar para bloquear posibles ataques XSS a través del DOM.

Los ataques XSS, o Cross-Site Scripting, ocurren cuando un atacante es capaz de inyectar un script, normalmente Javascript, en el output de una aplicación web de forma que se ejecuta en el navegador del cliente. Los ataques se producen principalmente por validar incorrectamente datos de usuario, y se suelen inyectar mediante un formulario web o mediante un enlace alterado.

Por ejemplo

<img src=x onerror=alert('yo te maldigo') />

y del mismo modo, si se puede bloquear la consola del navegador para que nadie pueda ejecutar scripts.

Muchas gracias :)

5
  • 1
    No puedes bloquear la consola del navegador y no puedes evitar que el cliente mande a tu servidor peticiones con código inyectado. Ten en cuenta que un servidor web puede recibir peticiones que no vengan directamente de un navegador, pueden recibirla de un programa malicioso preparado a medida para aprovechar una vulnerabilidad. Ser defensivo en el frontend es necesario pero no suficiente. Tienes que ser defensivo también en el backend y "sanear" cualquier dato de entrada que pueda ser vulnerable a inyecciones.
    – ordago
    Commented el 27 sept. 2019 a las 12:30
  • Este enlace tiene información muy completa sobre el tema Ataques XSS: Cross-Site Scripting en PHP, si pudiera darte una respuesta tendría la misma información, Esperemos los aportes que puedan brindar otros usuarios. Commented el 27 sept. 2019 a las 12:32
  • 1
    Si en tu frontend estas usando un ajax que recibe datos externos, siempre puedes sanearlos usando .textContent para asegurarte que no se ejecute ningun script en vez de .innerHtml. Aun que como dice @ordago no creo que sea suficiente.
    – x3k
    Commented el 27 sept. 2019 a las 12:38
  • 1
    Me llama la atención como la pregunta es referenciada por quien pregunta a javascript y la mayoría pone repuestas con referencias a php
    – abrahamhs
    Commented el 27 sept. 2019 a las 15:58
  • 1
    @abrahamhs eso significa que es una pregunta muy amplia porque a) no tiene código, b) no presenta ningún problema o error.
    – Alfabravo
    Commented el 27 sept. 2019 a las 20:04

2 respuestas 2

4

En principio, esta es la referencia principal que sería recomendable seguir https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html para prevenir el XSS.

JavaScript se ejecuta en el cliente, y este puede hacer lo que quiera con el código y con su navegador (incluyendo la consola del mismo), el riesgo de una manipulación esta limitado porque solo lo va a afectar a él o a alguien que use ese navegador en ese equipo, a nadie mas.

El problema surge cuando por algún medio se ingresa código ejecutable (javascript) al backend supongamos y luego ese código lo enviamos al frontend. En esta oportunidad, la manipulación va a afectar a todos.

Esta es una web que está deliberadamente expuesta a XSS http://www.insecurelabs.org/Talk en donde podemos probar todo esto https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet. La idea es siempre la misma por algún input entra algo que no debería.

La forma de estar protegido (al margen del primer link que paso) si habría que resumirlo, es no intentar sanear o sanitisar los inputs, es decir no tratar de definir que no dejaremos pasar, mas bien definir exactamente que es lo que dejamos pasar dentro de lo posible.

Parece que no pero es un cambio fundamental de filosofía. Una cosa es limpiar la basura y otra hacer un filtro. Hacer un filtro es mucho mas fácil y efectivo. Si revisas la web de OWASP, podrás ver que hay muchísimos ejemplos de XSS y se van actualizando continuamente, sanitisar los riesgos actuales y futuros es prácticamente imposible.

A modo de ejemplo:

//supongamos que viene de un input que va a ir al backend
const potencialXSS = "alert(1)";

//sanitisar (NO recomendado)
const sanitisado = potencialXSS.replace(/[\(\)]/g,"");
console.log(sanitisado);//<-- nunca estamos seguros de limpiar TODO  

//filtrando 
const valido = /^[a-z]{0,5}$/g.test(potencialXSS);//<-- solo definimos lo que dejamos pasar lo mas restrictivamente posible
console.log(valido);
//Si es falso no dejamos pasar

0

Pues deberias poner en que tecnologia lo necesitas pero se necesita sanitizar los inputs donde pueden inyectar codigo, así mismo manualmente puedes validar los inputs para no aceptar algunos tipos de caracteres Aqui hay unos filtros de saneamiento de php https://www.php.net/manual/es/filter.filters.sanitize.php

Al igual un firewall te puede ayudar con estos problemas, y puedes mantenerte monitoreando los logs

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.