การโจมตีแบบ Cross-Site Scripting (XSS): คืออะไร และจะรักษาความปลอดภัยได้อย่างไร

การเขียนสคริปต์ข้ามไซต์ (XSS) เป็นหนึ่งในช่องโหว่ที่อันตรายที่สุดในด้านความปลอดภัยของเว็บแอปพลิเคชัน ส่งผลกระทบต่อผู้ใช้มากกว่า 40% ของแอปพลิเคชันเว็บทั่วโลกCross-Site Scripting คืออะไร และทำไมมันจึงยังคงเป็นภัยคุกคามร้ายแรงอยู่? XSS เป็นสาเหตุของการรั่วไหลของข้อมูลครั้งใหญ่ที่สุดหลายครั้ง รวมถึงกรณีของสายการบินบริติชแอร์เวย์และอีเบย์ ซึ่งทำให้ผู้ใช้หลายล้านคนเสี่ยงต่อการถูกขโมยข้อมูล การถูกแฮ็กบัญชี และการฉ้อโกง เพื่อเน้นย้ำถึงความสำคัญของการทำความเข้าใจว่า Cross-Site Scripting คืออะไร ประเภทของการโจมตี Cross-Site Scripting และวิธีการป้องกันที่ดีที่สุด จึงเป็นสิ่งสำคัญอย่างยิ่งต่อการรักษาความปลอดภัยของเว็บแอปพลิเคชันในปัจจุบัน

Cross-Site Scripting (XSS) คืออะไร?

การโจมตีแบบ Cross-Site Scripting (XSS) เป็นช่องโหว่ที่อนุญาตให้ผู้โจมตีแทรกสคริปต์ที่เป็นอันตรายเข้าไปในเว็บเพจที่เชื่อถือได้ เมื่อผู้ใช้โต้ตอบกับเว็บเพจเหล่านั้น สคริปต์จะทำงานในเบราว์เซอร์ของผู้ใช้ ด้วยเหตุนี้ XSS จึงอาจนำไปสู่ความเสี่ยงที่สำคัญ เช่น:

• ขโมยข้อมูลผู้โจมตีขโมยข้อมูลส่วนตัว เช่น คุกกี้เซสชัน และ login หนังสือรับรอง
• เซสชั่นหักหลังผู้โจมตีสามารถเข้าถึงเซสชันของผู้ใช้ที่กำลังใช้งานอยู่และปลอมตัวเป็นผู้ใช้เหล่านั้นได้
• การกระทำที่ไม่ได้รับอนุญาตสคริปต์ที่เป็นอันตรายจะทำการกระทำต่างๆ โดยที่เหยื่อไม่รู้ตัว

โดยเฉพาะอย่างยิ่ง ช่องโหว่ XSS มักเกิดขึ้นเนื่องจากการตรวจสอบหรือการกรองข้อมูลที่ผู้ใช้ป้อนเข้ามาไม่ดีพอ การรู้จักว่า Cross-Site Scripting คืออะไร จะช่วยให้องค์กรต่างๆ ป้องกันการโจมตีเหล่านี้และปกป้องผู้ใช้ของตนได้

ประเภทของการโจมตีแบบ Cross-Site Scripting และตัวอย่างในโลกแห่งความเป็นจริง

ผู้เชี่ยวชาญด้านความปลอดภัยจำแนกการโจมตี Cross-Site Scripting ออกเป็นสามประเภทหลัก ได้แก่ XSS แบบจัดเก็บ (Stored XSS), XSS แบบสะท้อน (Reflection XSS) และ XSS แบบอิง DOM (DOM-Based XSS) แต่ละประเภทมุ่งเป้าไปที่จุดอ่อนที่แตกต่างกันในเว็บแอปพลิเคชัน ซึ่งนำไปสู่ผลกระทบที่แตกต่างกัน เพื่ออธิบายเพิ่มเติม ต่อไปนี้คือวิธีการทำงานของแต่ละประเภทและตัวอย่างของความเสียหายที่อาจเกิดขึ้น

การโจมตีแบบ Cross-Site Scripting (XSS) ที่จัดเก็บไว้

XSS แบบจัดเก็บถาวร หรือที่เรียกว่า XSS แบบถาวร เกิดขึ้นเมื่อสคริปต์ที่เป็นอันตรายถูกบันทึกไว้บนเซิร์ฟเวอร์อย่างถาวร ตัวอย่างเช่น สคริปต์เหล่านี้อาจถูกจัดเก็บไว้ในฐานข้อมูลหรือโปรไฟล์ผู้ใช้ เมื่อใดก็ตามที่มีคนเข้าถึงทรัพยากรที่ถูกบุกรุก สคริปต์จะทำงานโดยอัตโนมัติ

ผู้โจมตีมักใช้ XSS แบบจัดเก็บ (Stored XSS) เพื่อโจมตีแพลตฟอร์มที่มีปริมาณการใช้งานสูง เนื่องจากเพย์โหลดที่เป็นอันตรายยังคงอยู่บนเซิร์ฟเวอร์ จึงสามารถส่งผลกระทบต่อผู้ใช้หลายพันคนก่อนที่จะถูกตรวจพบ

ตัวอย่างในโลกแห่งความเป็นจริง: eBay (2014)

ในปี 2014 ผู้โจมตีได้แทรกโค้ด JavaScript ที่เป็นอันตรายเข้าไปในระบบ รายการสินค้าบน eBay เหตุการณ์นี้เกิดขึ้นเนื่องจาก eBay ไม่ได้ตรวจสอบและกรองข้อมูลที่ผู้ใช้ป้อนเข้ามาอย่างถูกต้อง เมื่อใดก็ตามที่ผู้ใช้เข้าชมรายการสินค้าที่ได้รับผลกระทบ เบราว์เซอร์ของพวกเขาจะเรียกใช้สคริปต์ที่เป็นอันตรายโดยไม่รู้ตัว

ผลกระทบ:

• เหยื่อถูกนำตัวไปยังเว็บไซต์หลอกลวง ซึ่งผู้โจมตีจะขโมยข้อมูลไป login ข้อมูลประจำตัวและข้อมูลส่วนตัว
• อีเบย์ได้รับความเสียหายอย่างมากต่อชื่อเสียงเนื่องจากขาดมาตรการรักษาความปลอดภัยที่เพียงพอ
• ดังนั้น กรณีนี้จึงแสดงให้เห็นถึงความจำเป็นอย่างยิ่งในการตรวจสอบความถูกต้องของข้อมูลขาเข้าอย่างมีประสิทธิภาพและการติดตามตรวจสอบแบบเรียลไทม์

การโจมตีแบบ Cross-Site Scripting (XSS) แบบสะท้อนกลับ

การโจมตี XSS แบบสะท้อนกลับ (Reflected XSS) เกิดขึ้นเมื่อสคริปต์ที่เป็นอันตรายถูกฝังอยู่ใน URL หรือช่องป้อนข้อมูลในแบบฟอร์ม และแสดงผลสะท้อนกลับมาในคำตอบของเซิร์ฟเวอร์ การโจมตี Cross Site Scripting ประเภทนี้มักถูกส่งมาผ่านลิงก์ฟิชชิ่ง และจะทำงานทันทีที่เหยื่อคลิกลิงก์

ในขณะเดียวกัน ช่องโหว่ Reflected XSS ส่งผลกระทบต่อเหยื่อแต่ละราย แต่ก็อาจนำไปสู่ผลร้ายแรงได้เช่นกัน

ตัวอย่างในโลกแห่งความเป็นจริง: สายการบินบริติช แอร์เวย์ส (ปี 2018)

สายการบินบริติชแอร์เวย์ประสบกับเหตุการณ์หนึ่ง ช่องโหว่ XSS แบบสะท้อนกลับ ในปี 2018 ผู้โจมตีได้สร้างลิงก์ฟิชชิงที่มีสคริปต์ฝังอยู่ หลอกให้ผู้ใช้คลิกลิงก์เหล่านั้น

ผลกระทบ:

• แฮกเกอร์ขโมยข้อมูลลูกค้าที่สำคัญ รวมถึงชื่อ ที่อยู่ และรายละเอียดบัตรชำระเงิน
• ลูกค้ากว่า 400,000 รายได้รับผลกระทบ ส่งผลให้บริติช แอร์เวย์สถูกปรับเงิน 20 ล้านปอนด์ตามกฎ GDPR
• โดยสรุปแล้ว การละเมิดข้อมูลครั้งนี้ได้เน้นย้ำถึงความเสี่ยงทางการเงินและทางกฎหมายที่เกี่ยวข้องกับช่องโหว่การโจมตีแบบ Cross-Site Scripting (XSS)

การโจมตีแบบ Cross-Site Scripting (XSS) ที่ใช้ DOM เป็นฐาน

การโจมตี XSS แบบ DOM-Based เกิดขึ้นเมื่อผู้โจมตีทำการเปลี่ยนแปลงโครงสร้างของเบราว์เซอร์ โมเดลวัตถุเอกสาร (DOM) แทนที่จะมุ่งเป้าไปที่ช่องโหว่ฝั่งเซิร์ฟเวอร์ การโจมตีนี้จะข้ามการตรวจสอบความถูกต้องฝั่งเซิร์ฟเวอร์ไปโดยสิ้นเชิง และมักจะใช้ประโยชน์จากวิธีการ JavaScript ที่ไม่ปลอดภัย เช่น innerHTML or document.write().

เพื่อเป็นการยกตัวอย่าง นี่คือตัวอย่างของการโจมตี XSS ที่ใช้ DOM เป็นฐาน

ตัวอย่างในโลกแห่งความเป็นจริง: GitHub (2020)

ในปี 2020 ผู้โจมตีได้ใช้ช่องโหว่ ช่องโหว่ XSS ที่ใช้ DOM เป็นฐาน ในฟังก์ชันการค้นหาของ GitHub พวกเขาได้แทรกสคริปต์ที่เป็นอันตรายเข้าไปในช่องป้อนข้อมูลการค้นหา โดยหลีกเลี่ยงการป้องกันของเซิร์ฟเวอร์

ผลกระทบ:

• ผู้โจมตีขโมยคุกกี้เซสชันและโทเค็นการตรวจสอบสิทธิ์ ทำให้สามารถเข้าถึงที่เก็บข้อมูลโดยไม่ได้รับอนุญาตได้
• GitHub ได้แก้ไขปัญหาดังกล่าวอย่างรวดเร็ว แต่กรณีนี้แสดงให้เห็นถึงความเสี่ยงที่เกิดจากช่องโหว่ฝั่งไคลเอ็นต์