Un Ciberataque XSS o Ciberataque de Código Cruzado se produce cuando un delincuente inserta un código dañino en un sitio web legítimo. El código nocivo se ejecutará en el navegador de la víctima. Puede guardarse en el servidor web y activarse cada vez que el usuario acude a una determinada función. Pero la intrusión también se puede efectuar con otros métodos, sin ningún elemento perjudicial guardado en el servidor web.
Cómo funciona un ciberataque XSS
El mecanismo del ciberataque XSS es tan sencillo como eficaz: los atacantes aprovechan fallos de programación en un sitio web para infiltrar códigos dañinos. Cuando un usuario visita el sitio vulnerado, su navegador ejecuta estos códigos como si fueran componentes legítimos del sitio web. Esto le aporta al ciberdelincuente acceso a datos de autenticación o incluso le permite controlar la interacción del usuario con el sitio.
El objetivo fundamental de este ciberataque es robar los datos de identidad del usuario que caiga en la trampa: cookies, tokens de sesión y otra información similar. En la mayoría de los casos, este ataque pretende robar las cookies de la otra persona. Como sabemos, las cookies sirven para iniciar sesión de manera automática, así que las cookies robadas permiten acceder al sistema correspondiente con las otras identidades. Y esta es una de las razones por las que este ciberataque se considera uno de los más peligrosos.
Tipos de XSS
- Almacenado. Estos ataques se producen cuando el script malicioso se almacena permanentemente en el servidor objetivo. Cada vez que un usuario accede a la página comprometida, el script se ejecuta, lo que lo convierte en una potente herramienta para los ciberdelincuentes.
- Reflejado. En este caso, el script malicioso está incrustado en una URL. Cuando un usuario hace clic en el enlace manipulado, el script se refleja fuera del servidor web y se ejecuta en el navegador del usuario.
- Basado en MOD. En este caso, el script malicioso manipula el Modelo de Objetos del Documento (DOM) de una página web y altera la estructura de la página web en el navegador del usuario, provocando resultados inesperados y a menudo peligrosos.
Cómo evitar un XSS
La prevención de los ciberataques XSS depende del programador informático especializado en crear sitios web. Este profesional debe cerciorarse de que la codificación es resistente, usar cabeceras de seguridad y tener controladas las vías de acceso de los usuarios. Adicionalmente la herramienta de seguridad de contenido (CSP, Content Security Policy) permite al dueño de un sitio web vigilar los códigos que se ejecutan bajo ese dominio.
Archivado en:
