Cross-Site Scripting (XSS) y CSRF

Cross-Site Scripting (XSS) es una vulnerabilidad de inyección del lado del cliente en la que un atacante inyecta scripts maliciosos en páginas web que otros usuarios visualizan. A diferencia de la inyección SQL, que ataca al servidor, XSS ataca el navegador de la víctima. Cuando el navegador ejecuta el script del atacante, este se ejecuta con los mismos privilegios que los scripts legítimos de la página, lo que permite secuestrar sesiones, robar credenciales y distribuir malware.

El XSS reflejado ocurre cuando un script malicioso se inserta en una URL y el servidor lo «refleja» inmediatamente en la respuesta HTTP sin aplicar la codificación adecuada. Se engaña a la víctima (a menudo mediante un enlace de phishing) para que haga clic en la URL manipulada, lo que provoca que su navegador ejecute el script del atacante. El XSS reflejado no es persistente: solo se ejecuta cuando la víctima hace clic en el enlace malicioso.

El XSS almacenado (persistente) inserta un script malicioso en la base de datos de la aplicación, por ejemplo, en un comentario o una publicación de un foro. Cada usuario que visualiza ese contenido ejecuta el script en su navegador, por lo que el XSS almacenado es mucho más peligroso que el XSS reflejado. El XSS basado en DOM ocurre por completo en el navegador cuando el JavaScript del lado del cliente lee datos controlados por el atacante desde el DOM (p. ej., el fragmento de la URL) y los escribe de nuevo en la página de forma insegura.

La principal defensa contra XSS es la codificación de salida: convertir los caracteres especiales en sus equivalentes de entidad HTML (<, >, &) antes de mostrarlos en el navegador. Una cabecera de Content Security Policy (CSP) restringe los scripts que pueden ejecutarse y proporciona una importante defensa secundaria. También debe aplicarse la validación de entradas (mediante una lista de permitidos) en el servidor.

Cross-Site Request Forgery (CSRF) explota la confianza que un sitio web deposita en el navegador de un usuario autenticado. Un atacante engaña al navegador de la víctima para que envíe una solicitud autenticada no deseada a un sitio en el que la víctima ha iniciado sesión. Como el navegador adjunta automáticamente las cookies de sesión, el servidor de destino considera legítima la solicitud. Los ataques CSRF habituales transfieren fondos, cambian direcciones de correo electrónico o modifican la configuración de la cuenta.

Imagine que un usuario ha iniciado sesión en su banco en bank.com. Un atacante le envía un correo electrónico con una etiqueta de imagen oculta: <img src='https://bank.com/transfer?to=attacker&amount=1000'>. Al abrir el correo, el navegador carga automáticamente la URL de la imagen y envía la solicitud de transferencia con la cookie de sesión bancaria de la víctima adjunta. El banco la procesa como una solicitud legítima.

La defensa más eficaz contra CSRF es un token CSRF: un valor único e impredecible incluido en cada formulario y verificado en el servidor. Como el atacante no puede leer el token desde un origen diferente (por la política del mismo origen), las solicitudes falsificadas carecen de un token válido y se rechazan. El atributo de cookie SameSite (SameSite=Strict o Lax) también impide que los navegadores envíen cookies en solicitudes entre sitios.

XSS y CSRF suelen confundirse, pero atacan objetivos diferentes. XSS inyecta un script malicioso que se ejecuta en el navegador de la víctima y explota la confianza del usuario en el sitio web. CSRF falsifica solicitudes desde el navegador de la víctima hacia un sitio de confianza y explota la confianza del sitio web en el navegador del usuario. XSS puede utilizarse para robar tokens CSRF y encadenar eficazmente ambas vulnerabilidades.

Los indicadores de cookie proporcionan importantes medidas de mitigación contra XSS. El indicador HttpOnly impide que JavaScript acceda a la cookie mediante document.cookie, lo que dificulta el robo de tokens de sesión incluso si existe XSS. El indicador Secure garantiza que las cookies solo se transmitan mediante HTTPS, lo que evita su interceptación en canales no cifrados. Ambos indicadores deben configurarse en todas las cookies de sesión como medida de defensa en profundidad.

Los evaluadores de seguridad identifican XSS inyectando cargas útiles de prueba en cada campo de entrada, parámetro de URL, cabecera HTTP y campo JSON. Una prueba sencilla es <script>alert(1)</script>: si aparece un cuadro de alerta, se confirma la presencia de XSS. Herramientas como Burp Suite automatizan el análisis de XSS y OWASP ZAP proporciona análisis activo gratuito. El XSS basado en DOM requiere analizar el JavaScript del lado del navegador, en lugar de inspeccionar la respuesta del servidor.

Los ataques XSS han causado daños importantes en el mundo real. El gusano Samy (2005) se propagó por MySpace en 20 horas al explotar XSS almacenado para replicarse en más de un millón de perfiles. Los ataques XSS pueden robar tokens de sesión para secuestrar cuentas por completo, redirigir a los usuarios a sitios de phishing, distribuir exploits del navegador (descargas automáticas) y modificar el contenido de las páginas para mostrar información falsa a usuarios específicos.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: XSS inyecta scripts en páginas que visualizan otros usuarios, CSRF engaña a los navegadores autenticados para que envíen solicitudes falsificadas y la codificación de salida, CSP, los tokens CSRF y el atributo de cookie SameSite son las principales defensas. A continuación, estudiaremos la autenticación defectuosa y la deserialización insegura.