Bảo mật luôn là một chủ đề mà các developer cần quan tâm nhất là trong không gian mạng ẩn chứa nhiều rủi ro từ các vụ tấn công mạng. Trong đó, XSS (Cross-Site Scripting) là một trong những lỗ hổng phổ biến và nguy hiểm nhất. Nó không chỉ tác động đến an ninh của trang web mà còn ảnh hưởng đến người dùng cuối.

Trong bài viết này, chúng ta sẽ khám phá khái niệm về XSS, những cách mà lỗ hổng này có thể được khai thác và tác động của nó đối với an toàn của trang web.

1. XSS là gì?

XSS (Cross-Site Scripting) là cách tấn công vào trang web bằng cách gửi chèn lệnh và các script độc hại để thực thi chúng ở phía client và ăn cắp dữ liệu nhận dạng của người dùng như cookies, session tokens và các thông tin khác.

Có 3 loại tấn công XSS chính:

Reflected XSS

Reflected XSS là hình thức tấn công được sử dụng nhiều nhất. Đây là nơi mã script độc hại đến từ HTTP request. Từ đó, hacker đánh cắp dữ liệu của người dùng, chiếm quyền truy cập và hoạt động của họ trên website thông qua việc chia sẻ URL chứa mã độc. Hình thức này thường nhắm đến ít nạn nhân.

Stored XSS

Stored XSS khác với Reflected XSS, hình thức này nhắm đến nhiều nạn nhân cùng lúc. Đây là nơi script độc hại đến từ cơ sở dữ liệu của trang web. Hacker chèn các mã độc vào cơ sở dữ liệu thông qua các dữ liệu đầu vào như input, form,… Khi người dùng truy cập và tiến hành những thao tác liên quan đến dữ liệu đã lưu thì mã độc sẽ lập tức hoạt động trên trình duyệt.

DOM-based XSS

DOM-based XSS là nơi lỗ hổng bảo mật tồn tại trong mã phía client chứ không phải mã phía server. Hình thức này dùng để khai thác XSS dựa vào việc thay đổi HTML của tài liệu, hay nói cách khác là thay đổi cấu trúc DOM.

2. Các cách ngăn chặn tấn công XSS

Xác thực đầu vào của người dùng: Thực hiện ở phía máy chủ để ngăn chặn các cuộc tấn công có thể xảy ra. Tại đây, chúng ta sẽ thực hiện kiểm tra và lọc các dữ liệu đầu vào từ người dùng để loại bỏ hoặc thay thế các từ khóa nguy hiểm.

Chúng ta có thể thay thế hoặc xóa các từ khóa nhạy cảm như là:

  • <script></script> tags.
  • Javascript commands.
  • HTML markup.

>>> Xem thêm bài viết:

- HTTP là gì? Tìm hiểu về giao thức HTTP và HTTPS

- HTTP request là gì? Các phương thức HTTP request

- Hướng dẫn cài đặt unix linux 

Làm sạch đầu ra: Thực hiện ở phía client, chúng ta sẽ mã hóa hoặc thoát các dữ liệu đầu ra từ máy chủ trước khi hiển thị cho người dùng. Điều này có thể được thực hiện bằng cách sử dụng các thư viện DOMPurify, làm sạch mã HTML và JavaScript để ngăn chặn các cuộc tấn công xảy ra.

Sử dụng HTTPOnly cookie flag: Rất khó để ngăn chặn tất cả các lỗi XSS trong ứng dụng của bạn. Để giảm tác động của các lỗ hổng XSS, hãy sử dụng HTTPOnly cookie flag — nếu trình duyệt hỗ trợ, nó đảm bảo rằng các tập lệnh phía máy khách không thể truy cập cookie, ngăn chặn các cuộc tấn công XSS một cách hiệu quả.

Sử dụng tiêu đề phản hồi thích hợp. Để ngăn XSS trong phản hồi HTTP không có ý định chứa bất kỳ HTML hoặc JavaScript nào, bạn có thể sử dụng tiêu đề Content-Type và X-Content-Type-Options để đảm bảo rằng các trình duyệt diễn giải phản hồi theo cách bạn mong muốn.

Chính sách Bảo mật Nội dung. Là tuyến phòng thủ cuối cùng, bạn có thể sử dụng Chính sách bảo mật nội dung (CSP - Content Security Policy) để giảm mức độ nghiêm trọng của bất kỳ lỗ hổng XSS nào vẫn xảy ra.

Sử dụng tường lửa ứng dụng web (WAF): Tương tự cách trên, phương thức này sử dụng ở phía máy chủ để ngăn chặn các cuộc tấn công Cross-site Scripting. WAF là một loại phần mềm hoặc thiết bị có thể được sử dụng để chặn các yêu cầu độc hại và ngăn chặn các cuộc tấn công XSS

Cập nhật các bản vá bảo mật: Khác với các cách còn lại, phương pháp này được sử dụng ở cả phía máy chủ và máy khách để ngăn chặn các cuộc tấn công Cross-site Scripting. Cập nhật các bản vá bảo mật có nghĩa là luôn giữ cho hệ điều hành, trình duyệt, ứng dụng web và các thành phần liên quan được cập nhật với các phiên bản mới nhất và an toàn nhất.

>>> Xem thêm bài viết: Bảo mật trong PHP

Kết 

XSS là một trong những lỗ hổng bảo mật phổ biến và nguy hiểm nhất đối với các ứng dụng web. Nó cho phép hacker chèn và thực thi các mã độc trên trình duyệt của người dùng để đánh cắp thông tin, chiếm quyền truy cập hoặc làm hại nạn nhân. Để phòng tránh Cross-site Scripting, chúng ta cần thực hiện các biện pháp như xác định và lọc đầu vào, mã hoá đầu ra, thiết lập chính sách bảo mật nội dung và cập nhật các bản vá bảo mật cho ứng dụng web.

Stringee Communication APIs là giải pháp cung cấp các tính năng giao tiếp như gọi thoại, gọi video, tin nhắn chat, SMS hay tổng đài CSKH cho phép tích hợp trực tiếp vào ứng dụng/website của doanh nghiệp nhanh chóng. Nhờ đó giúp tiết kiệm đến 80% thời gian và chi phí cho doanh nghiệp bởi thông thường nếu tự phát triển các tính năng này có thể mất từ 1 - 3 năm.

Bộ API giao tiếp của Stringee hiện đang được tin dùng bởi các doanh nghiệp ở mọi quy mô, lĩnh vực ngành nghề như TPBank, VOVBacsi24, VNDirect, Shinhan Finance, Ahamove, Logivan, Homedy,  Adavigo, bTaskee…

Quý bạn đọc quan tâm xin mời đăng ký NHẬN TƯ VẤN TẠI ĐÂY: