Come scoprire vulnerabilità XSS: Difenditi dal Cross-site Scripting

La sicurezza di un sito web è uno degli aspetti più importanti della sua gestione e va inserita anche tra le voci nel momento in cui il sito deve essere creato per la prima volta.

Questo perché online le minacce si nascondono ovunque. Le vulnerabilità XSS sono di certo tra le più insidiose. Vediamo nello specifico di che cosa si parla quando si parla di vulnerabilità XSS, quante tipologie in realtà ne esistono e come puoi difendere il tuo sito web da una minaccia di questo tipo.

Che cos’è una vulnerabilità XSS e dove si annida

Le vulnerabilità sono quei piccoli grandi errori nella scrittura del codice di un pezzo di software che consentono, se si verificano alcune condizioni specifiche, ad altri utenti di prendere il controllo del software o di altri software ad esso collegati. Le vulnerabilità XSS sono, come qualunque altra vulnerabilità, possibili ovunque.

Come riportato per esempio da WordFence, i tentativi da parte di soggetti malevoli di sfruttare queste vulnerabilità in particolare, per entrare in possesso di dati sensibili, sono nell’ordine di milioni ogni 24 ore. Ma che cosa identifica la sigla XSS? Che cos’è un attacco Cross-Site Scripting?

Seguendo sempre la definizione che ne dà WordFence siamo di fronte a un tipo di vulnerabilità che mette un utente malevolo nelle condizioni di poter inserire codice in siti web che sono altrimenti legittimi e sicuri.

Il codice che viene utilizzato per gli scopi criminali è del tipo JavaScript. Le vulnerabilità XSS funzionano perché sfruttano una cosa che i browser non sono in grado di fare: distinguere il codice buono da quello cattivo. Lavorando in maniera automatica, in base al codice che incontrano nel sito web che devono caricare, i browser non sono capaci di distinguere se tutto il codice che viene chiesto venga caricato ha ragione di esistere oppure no.

Per questo motivo, se un utente incappa in un sito web che è stato infettato attraverso una vulnerabilità XSS si trova esposto a brandelli di codice che possono trasformarsi in minacce di vario tipo, un pop-up o un form per rubare dati personali per esempio.

Ma ci sono anche altri tipi di vulnerabilità XSS che invece lavorano in maniera sotterranea senza mostrare nulla all’utente. È chiaro che questo secondo genere di vulnerabilità che vengono sfruttate e di iniezioni di JavaScript sono le più pericolose.

Per aumentare la sicurezza del tuo sito WordPress la prima cosa da fare è però capire di cosa parliamo quando pariamo di XSS. Esistono varie sottocategorie di vulnerabilità XSS ma di solito si raggruppano in tre macrocategorie in base alle loro caratteristiche. Questi tre gruppi sono gli attacchi stored, gli attacchi reflected e gli attacchi DOM-based.

Quali sono le caratteristiche delle categorie di vulnerabilità XSS

Chiarito da dove arrivano gli attacchi che possono sfruttare le vulnerabilità XSS vediamo rapidamente quali sono le caratteristiche di ciascuna tipologia.

Cominciamo con quelle stored. Universalmente riconosciuti come i problemi peggiori che possano capitare a un sito WordPress, si tratta di quegli attacchi che possono finire con l’essere effettivamente caricati all’interno dei server e quindi sono potenzialmente quelli più efficaci, perché si attivano ogni volta che un utente finisce con l’attivare una determinata parte del database di un sito web.

Quelli reflected sono considerati una tipologia meno automatica. Sono quelle vulnerabilità che in pratica si trasformano in pop-up e form e che cercano di convincere gli utenti a eseguire una determinata azione. Se il trucco funziona allora la vulnerabilità si trasforma in pericolo concreto ma altrimenti è un problema latente.

La terza tipologia è quella DOM-based. In questa tipologia di vulnerabilità tutto avviene solo ed esclusivamente all’interno del browser della vittima e non è necessario che il server faccia o meno qualcosa. Un esempio di questo genere di vulnerabilità XSS viene da quelle volte in cui gli utenti sono portati con un redirect su un altro sito che viene messo su per raccogliere informazioni personali e usarle poi altrove.

Come ci si difende dalle vulnerabilità XSS

Da parte degli utenti difendersi da un’eventuale vulnerabilità XSS che colpisce un sito che si sta esplorando nei fatti non è possibile. Soprattutto nel caso in cui non si riesca a vedere quello che sta accadendo. Per questo motivo l’onere della difesa cade su chi gestisce il sito web e per difendersi bisogna adottare diverse strategie.

Dato che di solito le vulnerabilità arrivano attraverso temi, plugin e versioni di WordPress è assolutamente necessario mantenere tutto nella versione più aggiornata possibile. Periodicamente, per questo motivo, diamo conto delle vulnerabilità peggiori che sono state rintracciate in modo tale da permetterti di controllare se possiedi dei plugin o degli elementi che rischiano di rendere il tuo sito WordPress poco sicuro.

Il controllo periodico e l’aggiornamento di tutti gli elementi che compongono il tuo sito è importante come pure è importante controllare che gli elementi che hai usato per costruire la tua presenza online siano ben tenuti da chi li ha creati.

A tal proposito è bene eliminare i plugin che non ricevono aggiornamenti da diverso tempo e cambiare tema se quello che usi si trova nella stessa situazione. Esistono moltissimi plugin che hanno caratteristiche simili e quindi non faticherai a trovare alternative più che valide a quello che usi di solito. Cambiare tema, se quello che usi non è aggiornato, potrebbe invece essere una ottima occasione per un restyling.