Как бороться с XSS-атаками?

Борьба с XSS-атаками в веб-приложениях

XSS (Cross-Site Scripting) — это одна из наиболее распространённых уязвимостей веб-приложений, когда злоумышленник внедряет вредоносный JavaScript-код в страницу, который выполняется в браузере жертвы. Борьба с XSS требует комплексного подхода на разных уровнях приложения.

Основные типы XSS и стратегии защиты

1. Экранирование (escaping) выводимых данных

Самая важная мера — корректное экранирование данных перед выводом в HTML-контексте.

// НЕПРАВИЛЬНО - уязвимый код
echo "<div>" . $_GET['user_input'] . "</div>";

// ПРАВИЛЬНО - используем htmlspecialchars
echo "<div>" . htmlspecialchars($user_input, ENT_QUOTES | ENT_HTML5, 'UTF-8') . "</div>";

Ключевые параметры htmlspecialchars:

• ENT_QUOTES — экранирует и двойные, и одинарные кавычки
• ENT_HTML5 — использует правила HTML5
• 'UTF-8' — явное указание кодировки предотвращает атаки с использованием Unicode

2. Использование шаблонизаторов

Современные шаблонизаторы автоматически экранируют переменные:

// Twig автоматически экранирует переменные
{{ user_input }}

// Для вывода "сырого" HTML требуется явное разрешение
{{ user_input|raw }} // ОПАСНО - используйте только для доверенных данных

3. Content Security Policy (CSP)

HTTP-заголовок, который позволяет контролировать источники выполнения скриптов:

// Установка CSP заголовка в PHP
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com;");

Преимущества CSP:

• Блокирует выполнение inline-скриптов
• Ограничивает источники загрузки скриптов
• Отправляет отчёты о нарушениях

4. Валидация и санитизация входных данных

// Фильтрация данных
$clean_input = filter_input(INPUT_GET, 'email', FILTER_SANITIZE_EMAIL);

// Удаление опасных тегов
$safe_text = strip_tags($user_input, '<p><br><strong>'); // Разрешаем только безопасные теги

// Использование HTMLPurifier для сложных случаев
require_once 'HTMLPurifier.auto.php';
$config = HTMLPurifier_Config::createDefault();
$purifier = new HTMLPurifier($config);
$clean_html = $purifier->purify($user_input);

5. HTTP-заголовки для безопасности

// Заголовки, повышающие безопасность
header('X-XSS-Protection: 1; mode=block'); // Встроенная защита браузера
header('X-Content-Type-Options: nosniff'); // Предотвращает MIME-sniffing

Многоуровневая стратегия защиты

Уровень 1: Входные данные

• Валидация по белому списку разрешённых значений
• Приведение типов для числовых данных
• Использование подготовленных выражений для SQL

// Подготовленные выражения защищают от SQL-инъекций, но не от XSS
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$user_id]); // XSS всё ещё возможен при выводе $user_id в HTML

Уровень 2: Обработка в бизнес-логике

• Использование DTO (Data Transfer Objects) с типизацией
• Применение Value Objects для сложных данных
• Внедрение кастомных фильтров валидации

Уровень 3: Вывод данных

• Контекстно-зависимое экранирование:
  • HTML-контекст: htmlspecialchars()
  • JavaScript-контекст: json_encode() с флагом JSON_HEX_TAG
  • Атрибуты HTML: экранирование кавычек
  • URL: urlencode() для параметров

// Безопасная вставка данных в JavaScript
<script>
var userData = <?php echo json_encode($data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT); ?>;
</script>

Практические рекомендации

1. Используйте фреймворки с встроенной защитой

   • Laravel: Blade автоматически экранирует {{ }}
   • Symfony: Twig с авто-экранированием
   • Yii: ActiveForm с валидацией и экранированием

2. Регулярное тестирование

   • Статический анализ кода (SAST)
   • Динамическое тестирование (DAST)
   • Ручной аудит безопасности

3. Обучение разработчиков

   • Принцип "валидируй на входе, экранируй на выходе"
   • Понимание разных контекстов вывода
   • Опасность innerHTML, eval(), setTimeout() с динамическими строками

4. Дополнительные меры

   • Использование HttpOnly флага для кук
   • Защита от CSRF вместе с XSS
   • Реализация корректной сессионной механики

Пример комплексного подхода

class SecurityHelper {
    public static function escapeHtml($data): string {
        return htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, 'UTF-8');
    }
    
    public static function sanitizeInput($input, $type = 'string') {
        switch ($type) {
            case 'email':
                return filter_var($input, FILTER_SANITIZE_EMAIL);
            case 'url':
                return filter_var($input, FILTER_SANITIZE_URL);
            default:
                return strip_tags($input);
        }
    }
    
    public static function setSecurityHeaders() {
        header("Content-Security-Policy: default-src 'self';");
        header("X-Frame-Options: DENY");
        header("X-Content-Type-Options: nosniff");
    }
}

// Использование в коде
SecurityHelper::setSecurityHeaders();
$user_input = SecurityHelper::sanitizeInput($_POST['comment']);
echo '<div class="comment">' . SecurityHelper::escapeHtml($user_input) . '</div>';

Вывод: Борьба с XSS — это не единичное действие, а комплексный процесс, включающий правильное экранирование, валидацию, использование современных инструментов и постоянное обучение. Наиболее эффективен подход "глубокой защиты", где меры безопасности применяются на нескольких уровнях приложения одновременно.