Stored Cross Site Scripting
Los ataques XSS almacenados o persistentes ocurren cuando un código o script malicioso se almacena permanentemente en un servidor vulnerable o malicioso, utilizando una base de datos.
Las etiquetas incrustadas se convierten en una característica permanente de la página, lo que hace que el navegador las analice con el resto del código fuente cada vez que se abre la página.
A partir de este momento, cada vez que se acceda a la página, la etiqueta HTML en el comentario activará un archivo JavaScript, que está alojado en otro sitio y tiene la capacidad de robar las cookies de sesión de los visitantes.
Al utilizar la cookie de sesión, el atacante puede comprometer la cuenta del visitante, permitiéndole acceder fácilmente a su información personal y a los datos de su tarjeta de crédito. Mientras tanto, el visitante, que tal vez ni siquiera haya bajado a la sección de comentarios, no sabe que se produjo el ataque.
Donde el script se activa después de hacer clic en un enlace, un ataque almacenado sólo requiere que la víctima visite el página web comprometida . Esto aumenta el alcance del ataque, poniendo en peligro a todos los visitantes sin importar su nivel de vigilancia.
Un atacante podría presentar a los usuarios un texto que los persuada a realizar una acción específica, como "su contraseña ha caducado" o "inicie sesión nuevamente". El objetivo del atacante sería redirigir al usuario a otro sitio para robar sus credenciales cuando el usuario intente cambiar la contraseña o iniciar sesión nuevamente en la aplicación falsa.
Ejemplo:
<script>alert(‘XSS’)</script>Aparecera un mensaje de alerta cuando se ejecute.
Recursos
Última actualización