analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
attacchi reflected. I primi si verificano quando il codice nocivo è conservato dall’applicazione
stessa e viene presentato all’utente ogni qualvolta si accede ad una specifica pagina (es: un
messaggio, all’interno di un forum, che contiene JavaScript). Nella seconda categoria rientrano
quegli attacchi che utilizzano altri canali di comunicazione (es: email, messaggi attraverso IM
client e così via) per trasmettere un link "modificato", il quale reindirizzerà il codice verso
l’utente.
Uno degli attacchi di cross site scripting più diffusi inizia con un attacco di social engineering
che ha come mezzo una apparentemente innocua email che promette una vincita milionaria
sicura. In mezzo alle milioni di email di spam che girano su internet, molte sono un attacco di
cross site scripting.
Credo che nessuno possa negare che tragicamente non sarebbero pochi gli utenti a cliccare sul
link per cercare di riscuotere la presunta vincita milionaria.
Figura 69 Esempio di attacco di “ cross site scripting”
Al click dell’utente si apre, ad esempio, il sito della banca che l’hacker ha prescelto in quanto
vulnerabile al cross site scripting e di cui presume che l’utente ne sia un cliente. Il risultato è
l’apertura del browser che non desta alcun sospetto all’utente che brama la vincita fortunata. A
137