Segurança

O que é XSS e como ameaça seu site e seus visitantes?

Administrar um site é mais do que apenas publicar novos conteúdos e fazer ajustes aqui e ali. É também garantir que cada clique dado por aqueles que o acessam, seja seguro.

A questão é que nem todo admin é técnico e por isso, mesmo sem intenção, muitos sites se transformam em uma porta de entrada para ataques silenciosos que exploram brechas invisíveis aos olhos de quem não conhece os mecanismos por trás das ameaças digitais, como é o caso do tema de hoje – o XSS.

Saiba que mesmo plataformas consagradas, como WordPress, por exemplo, podem conter brechas que transformam uma página em vetor de ataque contra seus próprios visitantes. E não estamos falando de invasões evidentes ou alertas piscando na tela, mas de algo muito mais discreto, mas extremamente perigoso!

Por isso, nesse post, vamos te mostrar como identificar esse tipo de ameaça, entender como ela funciona e, principalmente, o que você pode fazer para proteger o seu site, os seus visitantes e até mesmo a sua reputação.

O que é XSS?

XSS é a sigla para Cross-Site Scripting, um tipo de ataque cibernético que acontece quando alguém mal-intencionado consegue inserir um código malicioso dentro de uma página de um site ou de uma aplicação web.

Esse código é executado no navegador de quem acessa a página, como se fosse parte legítima do conteúdo e é aí que mora o perigo, pois o sucesso da ação se baseia na confiança que os visitantes – e o próprio navegador – têm no site.

O resultado? O seu site pode permitir ações que você nunca planejou ao implementar um recurso, como por exemplo, redirecionar o visitante para uma página falsa / fraudulenta ou permitir o acesso a dados sensíveis, tudo isso sem que nem você, nem o visitante percebam.

O XSS não depende de uma invasão direta ao servidor onde o site está hospedado, nem ao painel de administração. Ele se aproveita de falhas na programação – geralmente em campos de entrada, como comentários, formulários ou até mesmo URLs – para “injetar” esse código malicioso.

Logo, se o site não estiver preparado para filtrar ou bloquear esse tipo de conteúdo, ele se transforma em um canal de ataques cibernéticos.

A partir dessa explicação, também podemos deduzir que, quando acontece, o problema não está no servidor ou nos serviços que hospedam o site, mas sim no código das páginas, ou até mesmo na forma como o navegador interpreta cada página.

Como o XSS funciona na prática?

Imagine que seu site tem um campo de comentários, um formulário de contato ou até mesmo uma área onde o visitante pode preencher dados de autenticação. Esses recursos comuns e úteis a muitos sites, também podem ser explorados por um invasor mal-intencionado, o famoso “hacker do mal”, ou mais precisamente, um cracker.

Esse invasor insere um código malicioso nesses campos, geralmente um pequeno trecho de JavaScript, uma linguagem de programação que é executada no lado do cliente e muito usada para diversas finalidades em um website.

Se o site não tiver mecanismos para identificar e bloquear esse tipo de conteúdo, o trecho de programação se integra à página como se fosse parte do código original, razão pela qual essa técnica é uma das maneiras conhecidas de realizar “code injection” (injeção de código), mais especificamente, o XSS.

A partir daí, quando os visitantes acessam essa área do site e utilizam o mesmo recurso, o código é executado automaticamente em seus navegadores.

E o que esse código pode fazer?

Muita coisa, desde abrir janelas falsas solicitando dados de autenticação, até capturar informações sigilosas ou redirecionar o visitante para um outro site, sem que ele perceba.

O mais preocupante é que tudo isso acontece sem que o administrador do site se dê conta.

O site continua funcionando de modo aparentemente normal, o que, aliás, é exatamente o objetivo do invasor, já que ele não quer despertar suspeitas.

Exemplos comuns de XSS

Pra entender o risco de verdade, nada melhor do que ver como o XSS costuma ocorrer na prática.

E não, não precisa ser um site complexo ou cheio de funcionalidades. Conforme já adiantamos, pode ser qualquer recurso que permita uma entrada do usuário, para que a falha seja explorada.

Campos de comentários

Imagine que você tem um blog com sistema de comentários, o que é bastante comum.

Um visitante mal-intencionado usa o campo de comentário para inserir um código escondido no meio do texto.

Se o site não estiver preparado para filtrar o que é digitado no campo de comentários, o código será salvo e passará a ser enviado para os navegadores de todos que acessarem a página daí em diante.

Como resultado, o navegador dos visitantes executa esse código como se fosse parte legítima da página daquele conteúdo. Pode aparecer uma janela falsa pedindo login, ou o visitante pode ser redirecionado para uma página fraudulenta com conteúdo potencialmente nocivo.

Formulários diversos

Outro exemplo comum, são os formulários de contato.

Se o campo de mensagem aceitar qualquer tipo de conteúdo sem nenhum mecanismo de verificação quanto a natureza dos dados fornecidos, um invasor terá sucesso na injeção de código por meio do formulário.

Quando o administrador acessa a mensagem ou quando ela é exibida em alguma área do site, o código é ativado.

Note que nesse caso e no exemplo dos comentários, uma variação de injeção de código também pode ocorrer, o SQL Injection (injeção de códigos SQL), uma vez que é comum que tais dados sejam gravados em banco de dados e, portanto, a extensão dos danos pode ser ainda maior.

Ou seja, além de comprometer a experiência do visitante, a falha pode atingir dados internos e causar prejuízos ainda piores.

URLs manipuladas

Alguns sites exibem informações com base em parâmetros da URL, como uma mensagem de boas-vindas personalizada ou quem sabe como resultado de uma ferramenta de busca interna do site.

Se o site não tratar esses dados cuidadosamente, um invasor pode criar um link malicioso e compartilhá-lo com outras pessoas.

Ao clicar, o visitante acessa o site normalmente, mas o código escondido na URL, é executado no navegador.

Busca interna

Até mesmo o campo de busca interna pode ser explorado, conforme adiantamos acima.

Se o site exibe o termo pesquisado na página de resultados sem tratamento adequado, um invasor pode inserir um código no campo relativo à busca interna e fazer com que o código malicioso seja executado no navegador de todos os visitantes que utilizarem a busca.

Como prevenir o XSS no seu site?

A boa notícia é que se você administra um site, mesmo sem saber programar, é possível adotar medidas simples e com razoável eficiência para proteger seu site contra ataques de cross-site scripting.

Tenha em mente, que a segurança cibernética começa com atenção aos detalhes e quanto mais aspectos forem observados, melhor será a proteção.

Mantenha tudo atualizado

Os plugins, o tema utilizado e o próprio núcleo do CMS, precisam estar sempre na versão mais recente.

Conforme enfatizamos no post sobre a segurança no WordPress, e que também vale para qualquer CMS, as atualizações corrigem falhas de segurança conhecidas e que muitas vezes incluem proteções contra ataques de cross-site scripting.

Atenção aos plugins

Evite instalar extensões / plugins desconhecidos, ainda pouco adotados por outros usuários ou mal avaliados.

Dê sempre preferência aos plugins mais populares, que sejam bem documentados e que disponibilizem atualizações frequentes. Aspectos como esse, costumam indicar a preocupação dos desenvolvedores com boas práticas de programação e segurança.

Não custa também lembrar, que cada novo plugin pode ser um potencial ponto de vulnerabilidade. Por isso, instale e ative apenas os plugins que forem essenciais.

Moderação de conteúdo

Nunca permita que as mensagens ou os comentários sejam publicados automaticamente.

Em vez disso, inclua ou ative o recurso de moderação, de forma que você possa revisar tudo o que será exibido no site. Isso ajuda a bloquear tentativas de injeção de código. Você verá que ocasionalmente, ao invés de comentários legítimos, há algum espertinho tentando injetar código.

Instale um firewall

Um firewall atuando sobre o site ou aplicação Web, é uma medida de contenção importante.

No caso do WordPress, há plugins de segurança como Wordfence, Sucuri ou iThemes Security que entre outras coisas, funcionam como um firewall e ajudam a identificar e bloquear atividades suspeitas, incluindo tentativas de XSS.

Muitos deles oferecem escaneamento automático e alertas em tempo real, ajudando o administrador a identificar quando um ataque – ou tentativa – acontece.

Firewall de aplicação web (WAF)

Além dos plugins de segurança, vale considerar o uso de um WAF (Web Application Firewall), como o ModSecurity, que pode ser ativado em servidores Web (ex: Apache ou Nginx) ou até mesmo em hospedagens que oferecem esse recurso por padrão.

O ModSecurity funciona como uma barreira entre o visitante e o site, analisando as requisições e bloqueando padrões suspeitos, como tentativas de injeção de código. Ele é especialmente útil para proteger contra ataques XSS, SQL Injection e outras ameaças comuns.

Se você utiliza hospedagem compartilhada ou gerenciada, verifique se o ModSecurity está disponível e ativo. Em muitos casos, ele pode ser habilitado com apenas alguns cliques no painel de controle da hospedagem.

Vale destacar que os plugins que atuam como firewall, são internos ao site (nível de aplicação). Já o ModSecurity, atua no nível do servidor, analisando requisições HTTP antes que cheguem ao CMS.

Portanto, a combinação de um firewall via plugin, com um WAF no servidor, oferece uma proteção mais robusta, cobrindo diferentes pontos de entrada e dificultando ainda mais a ação de invasores.

Filtre e sanitize entradas

Mesmo que você não programe, existem alguns plugins e temas que oferecem configurações para filtrar o conteúdo inserido por visitantes.

Verifique se há opções para “sanitização” de campos, uma medida que impede que códigos maliciosos e a aplicação de técnicas de injeção sejam possíveis.

Escaneamentos regulares

Use ferramentas que escaneiam o código do seu site em busca de vulnerabilidades.

Alguns serviços online oferecem essa análise gratuitamente ou como parte de pacotes de segurança. Ferramentas como Sucuri SiteCheck, Detectify ou até scanners oferecidos por empresas de hospedagem são úteis e acessíveis