Naja, mal wieder nicht zur Nachahmung emfohlen, aber durchaus ein Argument die Sicherheit der eigenen Site gegen Cross Site Scripting (eigentlich wäre die Abkürzung CSS, um Verwechslungen mit der Stylesheet-Sprache zu vermeiden ist die genutzte Abkürzung XSS) zu überprüfen – XSS als black hat SEO-Methode zur Generierung von Backlinks …

Ohne jetzt weiter auf technische Details einzugehen oder gar noch ein weiteres “Experiment” wie in den Blogs hier, hier oder hier zum Thema zu starten – XSS ist eine Form von Hacking, welche bereits seit Jahren bekannt ist und auch von Black Hat SEO´s neuerdings angeblich genutzt wird.

Es gibt verschiedene Möglichkeiten Code über Webformulare auf Webseiten einzuschleusen – bei der weiteren Recherche zum Website Hacking bin ich auf diversen Sites gelandet, die beinahe den Eindruck erwecken, als sei dies eine Art “Volkssport”.
Ich bin ziemlich irritiert bis erschreckt, wie einfach XSS als Website-Hacking umzusetzen ist :-(

Etwas beruhigt hat mich dann wieder die Tatsache, daß es bereits Online-Tools gibt, mit denen man seine Sites auf XSS-Anfälligkeiten überprüfen kann – die von mir getesteten eigenen Sites sind demnach zumindest sicher.

Leider kann ich nicht wirklich abschätzen wie gut, schlecht oder aussagekräftig die jeweiligen Tools sind?

Habe es mit dem Online Scan-Tool for HTML-Injection auf SEO-Egghead getestet – hier habe ich noch ein Tool (Springenwerk Security Scanner) gefunden, welches man offline installiert, allerdings braucht man dafür Python auf dem jeweiligen Rechner.

Auch interessant ist ein Zitat aus der Wikipedia zu XSS im “Zusammensoiel” mit Suchmaschinen-Robots:

Neuerdings werden Webspider, wie der Google Suchroboter, missbraucht, um serverseitige XSS- und SQL-Injection-Attacken auszuführen. Hierzu wird ein präparierter Link auf einer Webseite veröffentlicht. Sobald ein Webspider diesem Link folgt, löst er die Attacke aus. Dadurch taucht die IP-Adresse des Spiders und nicht die des eigentlichen Angreifers in den Protokollen des angegriffenen Systemes auf.

Der Schutz gegen XSS-Attacken ist je nach Webanwendung unterschiedlich komplex.

Im “Normalfall” ist es vergleichsweise einfach (wie hier im vorletzten Absatz beschrieben), sobald HTML vom Nutzer an die Anwendung übergeben werden muss, hilft nur noch die Überprüfung ALLER XSS Möglichkeiten, wie im XSS Cheat Sheet beschrieben.

Andere Beiträge mit ähnlichen Inhalten, die Dich evtl. auch interessieren könnten:

• Google Hacking – Wurm Programmierer nutzen Google bei Opfersuche
• Google Sandbox Neuigkeiten
• … das Deep Web – ja wo isses denn?
• Upps, Google Account gehackt – Hijacking von Google Accounts ist möglich!
• neue Google Funktionen mit Google Finance Beta
• Google Analytics Account Oberfläche beschreibbar …
• IBP8 – Internet Business Promoter von Axandra