Cross-site scripting
El cross-site scripting (XSS) a l'è 'na vulnerabilità che la revarda i sitt web dinamich cont ona gestion fallada di input di utent che permetten a on attaccant de giontà el sò codes ai paginn legittim per compì di attacch 'me el robà di informazion , mett di fals schermaa de login o doperà i resors de calcol del sistema de l'utent. A hinn, al didincoeu, vun di mezz de attacch pussee doperaa.
Tipi
Fonzionament
Prevenzion
Sanificazion de l'input
La sanificazion de l'input a l'è la trasformazion o l'eliminazion di caratter tipich de l'HTML o del JavaScript per impedì de caregà vergòtt irregolarment. I tecnegh pòden vèss combinaa: Per esempi se pòden escapaa i caratter < e >, ossia scrivej in codes HTML per fàj intepretà no e permett de scriv on codes HTML de esempi e scancellà on eventual script.
Limitazion di tag
La limitazion di tag a l'è doperada indova a l'è necessari permètt de doperà 'na quaj fonzion de l'HTML, tipicament quej de formattazion del test, senza permett de doperà i tag pussee pericolos 'me <script>, <iframe> o <link>. A bon cunt a l'è no on sistema fonzionant totalment, degià che gh'è el ris'c che on codes offuscaa el sia caregaa istess.
Content Security Policy
Content Security Policy a l'è on parameter che 'l pò vess mittuu in di header HTTP de 'na pagina web per dì al browser de fidàss domà di contegnuu che gh'è in d'ona lista dada, che 'l impediss dònca de caregà di script o iframe di alter paginn mìnga fidaa.
Riferiment