Scribd Logo
Unggah

Selamat datang di Scribd!

  • Pengertian XSS

    Diunggah oleh

    Muhammad Amin Rais
    72 tayangan2 halaman
    Pengertian XSS

    Hak Cipta

    © © All Rights Reserved

    Format Tersedia

    DOCX, PDF, TXT atau baca online dari Scribd

    Apakah menurut Anda dokumen ini bermanfaat?

    Apakah konten ini tidak pantas?

    Laporkan Dokumen Ini
    Pengertian XSS

    Hak Cipta:

    © All Rights Reserved
    Unduh sebagai DOCX, PDF, TXT atau baca online dari Scribd
    Tandai sebagai konten tidak pantas
    72 tayangan2 halaman

    Pengertian XSS

    Diunggah oleh

    Muhammad Amin Rais
    Pengertian XSS

    Hak Cipta:

    © All Rights Reserved
    Unduh sebagai DOCX, PDF, TXT atau baca online dari Scribd
    Tandai sebagai konten tidak pantas
    dari 2

    Pengertian XSS?

    XSS merupakan sebuah singkatan yang digunakan untuk istilah Cross Site Scripting. XSS merupakan
    salah satu jenis serangan injeksi code. XSS dilakukan oleh penyerang dengan cara memasukkan kode
    HTML atau client script code lainnya ke suatu situs. Serangan ini akan seolah – olah datang dari situs
    tersebut. Akibat serangan ini antara lain penyerang dapat mem-bypass keamanan di sisi klien,
    mendapatkan informasi – informasi sensitif, atau menyimpan aplikasi berbahaya.

    Alasan kependekan yang digunakan XSS bukan CSS karena CSS sudah digunakan untuk cascade style
    sheet.

    Jenis Cross-site Scripting (XSS)

    XSS secara umum di bagi menjadi dua yaitu Reflected atau nonpersistent dan Stored atau persistent.

    Reflected XSS merupakan jenis Cross-site Scripting yang paling banyak di lakukan oleh penyerang,
    penyerang dapat memanfaatkan social engineering seperti phising atau scampage untuk menarik
    pengguna agar mengakses tautan yang ia berikan. sehingga dengan cara ini penyerang dapat dengan
    mudah mengakses cookie pengguna yang selanjutnya dapat di gunakan untuk session hijacking.

    Stored XSS merupakan jenis xss yang jarang sekali di temui tetapi dampaknya lebih besar, karena
    stored xss dapat memerikan dampak kepada seluruh pengguna yang mengunjungi web tersebut.
    Kasus ini kerap terjadi pada web site yang mengizinkan penguna untuk menginput data yang akan di
    tampilkan kembali seperti buku tamu atau message board.

    Apa yang dapat Penyerang Lakukan dengan XSS?

    Kerentanan XSS dianggap kurang berbahaya daripada misalnya. Konsekuensi dari kemampuan untuk
    mengeksekusi JavaScript pada halaman web mungkin tidak tampak mengerikan pada awalnya.
    Sebagian besar browser web menjalankan JavaScript di lingkungan yang sangat terkontrol. JavaScript
    memiliki akses terbatas ke sistem operasi pengguna dan file pengguna. namun bukan berarti
    penyerang tidak bisa lakukan apapun dengan vuln ini, berikut beberapa kemungkinan yang dapat di
    lakukan penyerang dengan Cross-site Scripting :

    1. Memiliki akses ke semua objek yang memiliki akses ke halaman web lainnya. Ini termasuk akses ke
    cookie pengguna. Cookie sering digunakan untuk menyimpan token sesi. Jika penyerang dapat
    memperoleh cookie sesi pengguna, mereka dapat menyamar sebagai pengguna, melakukan
    tindakan atas nama pengguna, dan mendapatkan akses ke data sensitif pengguna ini lah yang di
    sebut session hijacking.
    2. Dapat membaca DOM browser dan melakukan modifikasi sewenang-wenang terhadapnya.
    Untungnya, ini hanya mungkin dalam halaman tempat JavaScript dijalankan.
    3. Menggunakan objek XMLHttpRequest untuk mengirim permintaan HTTP dengan konten
    sewenang-wenang ke tujuan sewenang-wenang.
    4. Memperoleh akses ke geolokasi pengguna, webcam, mikrofon, dan bahkan file tertentu dari sistem
    file pengguna. Sebagian besar API ini mengharuskan pengguna untuk ikut serta, tetapi penyerang
    dapat menggunakan social engineering untuk mengatasi batasan itu.

    Cara Mencegah XSS

    Source Code seharusnya tidak pernah menampilkan data yang diterima sebagai input langsung ke
    browser tanpa memeriksa kode berbahaya.

    Alternate XSS Syntax


    XSS using Script in Attributes

    XSS attacks may be conducted without using <script></script> tags. Other tags will do exactly the same
    thing, for example:

    <body onload=alert('test1')>

    or other attributes like: onmouseover, onerror.

    onmouseover

    <b onmouseover=alert('Wufff!')>click me!</b>

    onerror

    <img src="http://www.airtechdistribution.co.uk/images/404.jpg"
    onerror=alert(document.cookie);>

    XSS using Script Via Encoded URI Schemes

    If we need to hide against web application filters we may try to encode string characters, e.g.: a=&#X41
    (UTF-8) and use it in IMG tag:

    <IMG SRC=j&#X41vascript:alert('test2')>

    There are many different UTF-8 encoding notations what give us even more possibilities.

    XSS using code encoding

    We may encode our script in base64 and place it in META tag. This way we get rid of alert() totally.
    More information about this method can be found in RFC 2397

    <META HTTP-EQUIV="refresh"

    CONTENT="0;url=data:text/html;base64,PHNjcmlwdD5hbGVydCgndGVzdDMnKTwvc2NyaXB
    0Pg">

    Anda mungkin juga menyukai