¿Qué es el Cross Site Scripting y cómo puede afectar a tu negocio?

¿Qué es el Cross Site Scripting y cómo puede afectar a tu negocio?

¿Qué es el Cross Site Scripting y cómo puede afectar a tu negocio?

Los ataques cross site scripting, también conocidos como ataques XSS, se aprovechan de fallos de seguridad en páginas webs, debido a un mal diseño. Permiten a los atacantes ejecutar código malicioso en el navegador de la víctima, generalmente a través de JavaScript. No se ataca a la aplicación que se está ejecutando, sino directamente al cliente.

Un cliente se convierte en vulnerable, debido a fallos de seguridad en las webs que visita. Así, el hacker consigue ejecutar comandos tipo Java o HTML sin ningún tipo de restricción.

Tipos de ataque cross site scripting

– XSS persistente. El código infeccioso se introduce dentro del contenido alojado en el servidor de la web o de una aplicación. Estos datos del servidor aparecen en la web de manera permanente, como si fuese parte de la misma. Este tipo de ataque es muy peligroso, ya que la víctima no tiene que ir a una web de terceros para ser atacado, con la simple visita tienes el riesgo. Podemos encontrarlo en foros, blogs o redes sociales. Una forma de defenderse es desactivar el JavaScript del navegador.

– XSS reflejado. También se le conoce como ataque indirecto y es el tipo de cross site scripting más frecuente. No se queda alojado en el servidor de la web, sino que se encuentra en la petición de entrar en la web por parte del cliente. La propia web infecta a la víctima con la respuesta a la petición. La secuencia que sufriría el atacado sería:

* Se descubre un fallo de seguridad XSS en la web.

* A través de un engaño, la víctima conecta con una web con código maligno.

* La respuesta a la petición de entrada en la web tiene el código malicioso.

* El navegador ejecuta el script con el código infectado en el ordenador de la víctima.

– DOM XSS. O ataque tipo 0, mucho más sofisticado y raro de ver. El código infectado no se carga con la web sino que se ejecuta únicamente en el navegador de la persona atacada.

Pdf XSS. Se ataca la aplicación Acrobat Reader, ya que es vulnerable a ataques si almacena documentos pdf. Es recomendable que actualices Reader o uses servidores web Apache, ya que cuentan con protecciones específicas para el formato pdf.

XSRF ataque Cross Site Request Forgery. Utiliza la confianza web del usuario, para suplantar su identidad y tener el control total del navegador.

Medidas para evitar los ataques

– Tener instalado algún programa que nos proteja de ataques de malware o exploits.

– Si alguna web intenta redireccionarnos a algún sitio de phishing, el navegador o el software de protección lo evitarán.

– No entres en una web que no conozcas o no sea segura.

– Los desarrolladores web tienen que esforzarse para que las webs creadas por ellos no contengan fallos de seguridad.

– Puedes utilizar librerías anti ataques XSS como Apache Wicket o Esapi.

– Como usuarios, podemos desconectar la ejecución del JavaScript, aunque nos puede dar problemas al navegar en algunas webs. Podemos usar navegadores seguros para evitar los ataques XSS.

Viveroempresasvicalvaro

leave a comment

Create Account



Log In Your Account



Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.plugin cookies

ACEPTAR
Aviso de cookies
shares