Cross-site Scripting (XSS)

Bezpečnost webů je velmi široké téma, mnohokrát probírané a diskutované. Pojďme se dnes zaměřit především na rizika a hrozby, které přináší nové technologie z rodiny HTML5. S nimi totiž přichází i celá řada nových zranitelných míst, která jsou o to nebezpečnější, že o nich tvůrci webů zatím ještě nevědí.

Ačkoliv je PHP svým způsobem šablonovací jazyk, ve své čisté podobě se pro jejich kódování úplně nehodí. Proto vznikají nejrůznější šablonovací systémy. Nepřekvapí, že jeden takový je i součástí Nette Frameworku.

XSS neboli Cross-Site Scripting je jedna z nejstarších zranitelností webových aplikací. A protože jí stále mnoho webů, resp. webových aplikací trpí a většina uživatelů má JavaScript zapnutý, ukážeme si jednoduché příklady, jak zranitelnost vzniká a jak se jí bránit. Článek je věnován zejména těm, kdo o XSS zatím pořádně neslyšeli.

Je vaše webová aplikace zabezpečená proti Cross-Site Request Forgery (CSRF)? V článku se dozvíte, co znamená CSRF. Vysvětlíme, proč se jedná o bezpečnostní riziko nezávisle na tom, zda vaše formuláře používají metodu GET nebo POST. A dále ukážeme způsob, jak se můžete vůči tomuto problému bránit.

V článku si ukážeme časté bezpečnostní chyby webových aplikací (zej. SQL injection, Cross Site Scripting, Cross Site Request Forgery) a postupy, jak jim předcházet. Soustředíme se na webové aplikace napsané v Javě, zmíněné problémy se ale týkají všech webových aplikací nezávisle na použité platformě.

V posledních dnech se s texty o XSS roztrhl pytel. Svůj pohled na problematiku napsal i Jakub Vrána v článku Cross Site Scripting pořádně: „Kdybych já psal článek o XSS, tak v první řadě uvedu, že si musíme uvědomit, že v některých kontextech mají… Více

Vyšla nová verze blogovacího systému WordPress. Uživatelům starší verze je doporučován upgrade, protože mohou být náchylné ke Cross-site scripting, více viz přehled změn od poslední verze. Pokud přemýšlíte, kam se poděla verze 2.6.4, vězte, že ta… Více

Simon Willison ve své prezentaci Když AJAX útočí na @media AJAX shrnuje typické bezpečnostní problémy, které by měl každý webový vývojář dobře znát, zejména Cross-site Scripting (XSS) a Cross-site Request Forgery (CSRF). Prezentace je doplněna… Více