Uberblick Websecurity - Albert-Ludwigs-Universität Freiburg

6 Jennifer Nist
Abbildung 2. Beispiel einer persistenten XSS-Schwachstelle:
[11]
Dom-basiert: DOM steht für Document Object Model und ist eine Schnittstelle zur browserunabhängigen
Interpretation von HTML- und XML-Daten. Diese erfolgt benutzerseitig durch den
Webbrowser. Der DOM-basierte XSS-Angriff nutzt, im Gegensatz zu den beiden anderen XSS-
Angriffen, welche sich auf die serverseitige Erzeugung von dynamischen Webseiten stützten, die
benutzerseitige Interpretation von Benutzereingaben.
Beispiel
Ein Benutzer macht eine Eingabe in eine Webanwendung. Diese Eingabe wird benutzerseitig durch
eine Skriptsprache, wie etwa JavaScript, aus der URL als Argument ausgelesen:
http://beispiel.de/datei.html?arg=Argument
Dieses Argument wird in das betreffende HTML-Dokument eingefügt. Wenn dies ungeprüft geschieht,
so kann die aufrufende URL manipuliert und an potentielle Opfer als harmloser Link
verschickt werden.
http://beispiel.de/datei.html?arg=alert(“XSS“)
Wie kann man sich vor diesem Angriff schützen?
Grundsätzlich sind Benutzereingaben nie vertrauenswürdig. Daher sollte jede Eingabe serverseitig
geprüft werden. Dabei ist es meistens von Vorteil Whitelist zu benutzen. Bei dieser Methode werden
nur solche Eingaben zugelassen, die auf der Liste stehen. Eine andere Methode ist die eine Blacklist
zu führen. Dabei werden, im Gegensatz zu der Whitelist, die Eingaben die auf der Liste stehen
nicht zugelassen. Eine Blacklist ist sinnvoller, wenn die Anzahl der erlaubten Eingaben zu hoch ist
um sie auf eine Liste einzutragen. Jedoch sind Whitelists theoretisch die sicherere Wahl, da ständig
neuere und komplexere Angriffsmethoden entwickelt werden, die zuvor noch nicht absehbar waren.
Möchte der Benutzer nun ein Code-Beispiel in das Gästebuch schreiben, müssen Metazeichen als
solche maskiert (escaped) und damit als normale Zeichen markiert werden. Bei der Maskierung
wird dem Metazeichen ein bestimmtes Zeichen voran gestellt oder es komplett ersetzt, damit der
Interpreter dies als eine Zeichenrepräsentation erkennt und nicht als Metazeichen interpretiert.
Beispielsweise ersetzt man beim escapen von HTML-Code das Metazeichen ”