Cross-Site Scripting (XSS) dan CSRF

Cross-Site Scripting (XSS) adalah kerentanan injeksi sisi klien ketika seorang penyerang menyisipkan skrip berbahaya ke halaman web yang dilihat pengguna lain. Berbeda dari injeksi SQL yang menargetkan Server, XSS menargetkan peramban korban. Saat peramban merender skrip penyerang, skrip tersebut berjalan dengan hak akses yang sama seperti skrip halaman yang sah — sehingga memungkinkan pembajakan sesi, pencurian kredensial, dan pengiriman perangkat lunak berbahaya.

XSS terefleksi terjadi ketika skrip berbahaya disisipkan ke dalam URL dan Server segera "merefleksikannya" kembali dalam respons HTTP tanpa pengodean yang tepat. Korban ditipu (sering kali melalui tautan phishing) agar mengeklik URL yang telah dibuat, sehingga perambannya menjalankan skrip penyerang. XSS terefleksi bersifat tidak persisten — skrip hanya berjalan ketika korban mengeklik tautan berbahaya tersebut.

XSS tersimpan (persisten) menyisipkan skrip berbahaya ke dalam basis data aplikasi — misalnya dalam komentar atau kiriman forum. Setiap pengguna yang melihat Content tersebut akan membuat skrip berjalan di peramban mereka, sehingga XSS tersimpan jauh lebih berbahaya daripada XSS terefleksi. XSS berbasis DOM terjadi sepenuhnya di peramban ketika JavaScript sisi klien membaca data yang dikendalikan penyerang dari DOM (misalnya fragmen URL) dan menuliskannya kembali ke halaman secara tidak aman.

Pertahanan utama terhadap XSS adalah pengodean keluaran: ubah karakter khusus menjadi padanan entitas HTML-nya (<, >, &) sebelum merendernya di peramban. Header Content Security Policy (CSP) membatasi skrip mana yang boleh berjalan, sehingga menjadi pertahanan sekunder yang penting. Validasi masukan (dengan daftar izin) juga harus diterapkan di sisi Server.

Cross-Site Request Forgery (CSRF) mengeksploitasi kepercayaan situs web terhadap peramban pengguna yang telah terautentikasi. Penyerang menipu peramban korban agar mengirim permintaan terautentikasi yang tidak diinginkan ke situs tempat korban sedang masuk. Karena peramban secara otomatis menyertakan Cookie sesi, Server tujuan menganggap permintaan tersebut sah. Serangan CSRF umum digunakan untuk mentransfer dana, mengubah alamat email, atau mengubah pengaturan akun.

Bayangkan seorang pengguna sedang masuk ke rekening banknya di bank.com. Penyerang mengirim email dengan tag gambar tersembunyi: <img src='https://bank.com/transfer?to=attacker&amount=1000'>. Saat email dibuka, peramban secara otomatis memuat URL gambar tersebut — dan mengirim permintaan transfer bersama Cookie sesi bank milik korban. Bank memprosesnya sebagai permintaan yang sah.

Pertahanan CSRF yang paling efektif adalah token CSRF — nilai unik dan sulit ditebak yang disisipkan ke setiap formulir dan diverifikasi di sisi Server. Karena penyerang tidak dapat membaca token dari asal yang berbeda (kebijakan asal yang sama), permintaan palsu tidak memiliki token yang valid dan akan ditolak. Atribut Cookie SameSite (SameSite=Strict atau Lax) juga mencegah peramban mengirim Cookie dalam permintaan lintas situs.

XSS dan CSRF sering disalahartikan sebagai hal yang sama, tetapi keduanya menargetkan pihak yang berbeda. XSS menyisipkan skrip berbahaya yang berjalan di peramban korban — dengan mengeksploitasi kepercayaan pengguna terhadap situs web. CSRF memalsukan permintaan dari peramban korban ke situs tepercaya — dengan mengeksploitasi kepercayaan situs web terhadap peramban pengguna. XSS dapat digunakan untuk mencuri token CSRF, sehingga kedua kerentanan tersebut dapat dirangkai.

Flag Cookie memberikan mitigasi penting terhadap XSS. Flag HttpOnly mencegah JavaScript mengakses Cookie melalui document.cookie, sehingga pencurian token sesi menjadi lebih sulit meskipun terdapat XSS. Flag Secure memastikan Cookie hanya dikirim melalui HTTPS, sehingga mencegah penyadapan pada saluran yang tidak terenkripsi. Kedua flag tersebut harus ditetapkan pada semua Cookie sesi sebagai langkah pertahanan berlapis.

Penguji keamanan mengidentifikasi XSS dengan menyisipkan muatan pengujian ke setiap bidang masukan, parameter URL, header HTTP, dan bidang JSON. Salah satu pengujian sederhana adalah <script>alert(1)</script> — jika kotak peringatan muncul, XSS telah dikonfirmasi. Alat seperti Burp Suite mengotomatiskan pemindaian XSS, sedangkan OWASP ZAP menyediakan pemindaian aktif gratis. XSS berbasis DOM memerlukan analisis JavaScript di sisi peramban, bukan pemeriksaan respons Server.

Serangan XSS telah menimbulkan kerusakan nyata yang signifikan. Cacing Samy (2005) menyebar di MySpace dalam waktu 20 jam dengan mengeksploitasi XSS tersimpan untuk menggandakan dirinya ke lebih dari satu juta profil. Serangan XSS dapat mencuri token sesi untuk membajak akun sepenuhnya, mengarahkan pengguna ke situs phishing, mengirim eksploit peramban (unduhan drive-by), dan mengubah Content halaman untuk menampilkan informasi palsu kepada pengguna yang menjadi sasaran.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini, Anda mempelajari bahwa: XSS menyisipkan skrip ke halaman yang dilihat pengguna lain, CSRF menipu peramban yang telah terautentikasi agar mengirim permintaan palsu, serta pengodean keluaran, CSP, token CSRF, dan atribut Cookie SameSite merupakan pertahanan utama. Selanjutnya, kita akan membahas autentikasi yang rusak dan deserialisasi yang tidak aman.