4

Me gustaría proteger mi sitio contra ataques XSS de cualquier tipo, como lo puedo hacer mediante htaccess o php.

2 respuestas 2

7

Todo dependerá de que tipo de XSS pretendes solventar. Hay dos tipos:

  • XSSPersistente (StoredXSS): ocurre en aquellas partes donde un usuario introduce datos que puedne ser cistos por otros usuarios. Es decir, cuando se hace uso de una base de datos o fichero de texto, cuando se almacena información. Ejemplos de esto son mensajes en foros, comentarios en wikis, blogs, etc. Aquí lo que debes hacer es comprobar esa inserción de datos en busca de palabras y caracteres no permitidos a fin de evitar el ataque XSS.

  • XSSReflejado(ReflectedXSS): se da cuando se incluyen los scripts en lso parámetros de una petición web. Por ejemplo, cuando un usuario le pasa un lin ka tu web a otro, pero ese link contiene un script, o bien un usuario introduce un script en uno de es oparámetros. En este caso hay que comprobar las direcciones y los parámetros que recibes a fin de evitar el ataque. Esto no es lo mismo que phising, no hay que confundirlo.

La forma de proteger el sitio contra XSS es filtrando los datos de entrada que introduce el usuario, verificando que no lleven etiquetas no deseadas. para ello, lo mejor es hacer una lista blanca (una lista de cosas permitidas que puede introducir el usuario) en vez de una lista negra (cosas no permitidas). En este caso, si usas listas blancas, si te olvidas de algo, simplemente el usuario no podrá introducirlo, en el caso contrario, puede que te olvides alguna etiqueta y la página sea vulnerable.

Otra forma de protegerse sería utilizando mod_security de Apache, tendrías que instalarlo y configurarlo para que filtrase todas esas peticiones, pero es recomendado mejro hacerlo de la primera manera para poder controlar tu todo el flujo de una mejor manera por código. Esto te serviría para cualquier lenguaje de programación.

Para PHP tendrías que usar los filtros de validación en PHP. Tambien tienes esta librería de Google.

Aquí tienes más información sobre validación de datos, el proyecto AntiSamy y en JSP.

5
  • Me gustaría hacerlo para cualquier tipo de ataque, y cross bowser. Como puedo lograrlo. Commented el 7 mar. 2017 a las 8:11
  • 1
    Me gustaría implementarlo mediante htaccess y php Commented el 7 mar. 2017 a las 8:22
  • Aunque si se pudiera solo con htaccess sería genial. Commented el 7 mar. 2017 a las 8:22
  • @AnimationsNow La solución para ambos tipos de XSS es la misma, crear filtros.
    – CGG
    Commented el 7 mar. 2017 a las 10:35
  • 1
    ¿Caos o caso?: En este caos, si usas listas blancas, si te olvidas de algo, simplemente el usuario no podrá introducirlo, en el caos contrario, puede que te olvides alguna etiqueta y la página sea vulnerable.
    – A. Cedano
    Commented el 16 ene. 2018 a las 10:53
1

lo que debes hacer es controlar lo que los usuarios introducen en los inputs de tu web. para limpiar todos los posibles ataques XSS en php existe una libreria muy buena, te dejo su enlace para que puedas echarle un vistazo:

http://htmlpurifier.org/

4
  • Y como lo uso, perdón es que no se mucho ingles. xD Commented el 7 mar. 2017 a las 10:40
  • Pues lo que deberias hacer es incluir la libreria, configurarla para definir que elementos permitirias o cuales no, de todas maneras te dejo una página de ejemplo en castellano que explica como hacerlo ya que tu pregunta seria otra y mucho mas amplia. explicacion
    – Ngomez
    Commented el 8 mar. 2017 a las 11:07
  • Gracias. Una pregunta? La directiva Header set X-XSS-Protection "1; mode=block" de htaccess que navegadores soporta. Commented el 8 mar. 2017 a las 21:51
  • Aqui tienes, si consideras que te he ayudado suficiente o que la otra respuesta ha sido mejor, no te olvides en marcar una como respuesta valida, gracias por adelantado. developer.mozilla.org/en-US/docs/Web/HTTP/Headers/…
    – Ngomez
    Commented el 10 mar. 2017 a las 11:22

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.