Danno di XSS sul sito Web di sola informazione
Sì, l'XSS è un problema anche su un sito Web di soli dati senza account utente o informazioni personali.
Cosa può succedere:
-
Phishing : è vero, un utente malintenzionato non può cercare di ottenere informazioni specifiche per il tuo sito Web, ad esempio le credenziali di accesso, in quanto non esistono. Ma - a seconda del tuo sito web - possono ancora sfruttare la fiducia che un utente ha nel tuo sito per raccogliere informazioni da parte dell'utente.
-
Defacement : un utente malintenzionato può modificare l'aspetto del tuo sito web come preferisce. Possono aggiungere informazioni false, possono aggiungere immagini inappropriate e così via. A seconda del tuo sito web, questo potrebbe avere ramificazioni piuttosto ampie.
-
Apri reindirizzamento : può essere utilizzato negli attacchi di phishing.
-
Drive-By-Download : un utente malintenzionato può sfruttare problemi nel browser che portano a download drive-by o aggiungere collegamenti a file dannosi al tuo sito web.
Come puoi vedere, il danno risulta da due cose:
- Un utente ha fiducia nel tuo sito web, che può essere sfruttato per danneggiare l'utente (ma non il tuo sito web).
- XSS può essere utilizzato per causare danni all'immagine del tuo sito Web, e quindi all'immagine della tua organizzazione.
Devi anche ricordare che:
- Il tuo sito web potrebbe cambiare e in seguito includere un'area utente o un'area di amministrazione.
- Potrebbero esserci altre applicazioni sullo stesso dominio, che hanno tali aree, che possono quindi essere sfruttate tramite XSS in questa applicazione.
Difesa contro XSS
I believe all we need to do here is to make sure all the forms do not accept contents with html tags?
Non proprio. Per le corrette difese contro XSS vedi OWASP.
Non accettare tag HTML potrebbe non essere sufficiente, pensa <img src="[USER_INPUT]"> .
Altri rischi per i siti Web di sola informazione
Considering all this, how important is security on my website and what are the attacks that I need to be careful about?
La sicurezza è ancora rilevante, anche per i siti Web di sola informazione.
Probabilmente non vuoi che un utente malintenzionato ottenga il controllo completo del tuo server, quindi, per lo meno, questi sono i problemi di cui dovresti preoccuparti:
- Iniezione: SQL Injection può essere usato per DOS sul server e, a seconda delle specifiche, un utente malintenzionato può acquisire con esso il proprio server. Ovviamente anche l'iniezione del comando OS è rilevante, in realtà non si vuole che un utente malintenzionato abbia il controllo completo del proprio server.
- Caricamenti di file non sicuri: sicuramente non vuoi che le persone caricino i file che vogliono.
- Altre vulnerabilità che attaccano il server possono anche essere rilevanti, come XXE, Object Injection, DOS in generale,
Eventuali vulnerabilità collegate all'autenticazione o all'autorizzazione - come l'autenticazione interrotta, il riferimento diretto all'oggetto non sicuro, ecc. - probabilmente non sono rilevanti per te, almeno per ora.