Cross Site Scripting: l’esecuzione di codice dannoso nel browser

Il Cross Site Scripting, comunemente indicato con l’acronimo XSS, è una falla di sicurezza informatica che interessa i siti web, i portali e-commerce e gli applicativi online aziendali.

A differenza di altre tipologie di attacchi che puntano a colpire direttamente i server dell’impresa, il Cross Site Scripting utilizza il portale ufficiale dell’azienda come veicolo non consapevole per infettare e colpire i singoli visitatori che navigano sulle sue pagine web.

La vulnerabilità si manifesta quando un sito web raccoglie informazioni o testi inviati dagli utenti (come i campi di ricerca, i form di contatto o i commenti) e li ripropone sulle pagine senza aver prima eseguito una verifica o una pulizia dei caratteri speciali. Un attaccante può quindi inserire all’interno di un modulo un piccolo programma malevolo scritto in linguaggio JavaScript.

Quando gli utenti reali visitano quella specifica pagina web, il loro browser scarica ed esegue in automatico lo script dannoso, credendo si tratti di un contenuto legittimo e idoneo inviato dal sito dell’azienda.

Tipologie d’attacco XSS ed impatto sulla riservatezza

A seconda della modalità con cui il codice malevolo viene inserito ed eseguito, le vulnerabilità XSS si dividono in differenti categorie operative:

• XSS Stored (Persistente): la forma più pericolosa, in cui lo script dannoso viene salvato stabilmente nel database del sito (ad esempio in una recensione) ed eseguito da chiunque visiti quella scheda in seguito.
• XSS Reflected (Riflesso): lo script malevolo si attiva nel momento in cui la vittima clicca su un link ingannevole o su un messaggio di phishing creato appositamente dai cybercriminali.
• Sottrazione dei cookie di sessione: lo script malevolo legge le informazioni salvate nel browser dell’utente, inviando all’hacker il codice necessario per accedere al suo account senza conoscere la password.
• Reindirizzamento verso siti truffaldini: l’invio automatico dei visitatori aziendali verso portali esterni pericolosi creati per rubare dati bancari o installare virus sui computer.
• Alterazione grafica dei contenuti: la modifica dell’aspetto visivo della pagina web per mostrare avvisi falsi o ingannare gli utenti durante la navigazione sul sito.

Strategie difensive per la messa in sicurezza delle app web

Garantire la sicurezza dei visitatori e proteggere l’immagine aziendale dagli attacchi XSS richiede interventi tecnici specifici da applicare all’infrastruttura web:

• Sanitizzazione e codifica dei dati d’ingresso: conversione automatica di tutti i caratteri speciali digitati dagli utenti per fare in modo che il browser li mostri come semplice testo e non come codice eseguibile.
• Impostazione delle regole CSP (Content Security Policy): configurazione di sicurezza del server che specifica in modo rigido da quali fonti autorizzate il browser dell’utente può caricare ed eseguire script.
• Protezione dei cookie di autenticazione: utilizzo di impostazioni di sicurezza sui cookie per fare in modo che non possano essere letti o sottratti da script JavaScript esterni.