Tarea

Catedrático
Carlos Amador

Cátedra
Prueba Y Doc. De Sistemas
De Software

Integrates
Carlos Chácon
Eduardo Mejía
Kirbith Ordoñez
Marlon Rodríguez
Samuel Sevilla
Yessica Vásquez

Fecha
Sábado 4 Junio 2011






CROSS SITE SCRIPTING

XSS, del inglés Cross-site scripting es un tipo de inseguridad informática o agujero de seguridad basado en la explotación devulnerabilidades del sistema de validación de HTML incrustado, es una vulnerabilidad que muchos desarrolladores dejan pasar por alto, quizás por falta de un planeamiento de análisis de riesgos en el proceso de diseño, desarrollo e implementación de sus aplicativos, o simplemente no lo vean como una falla que les va a presentar problemas en su aplicación, incluso por desconocimiento de esta vulnerabilidad. Sea cual sea el motivo por el cual no se ejecuten medidas de prevención con respecto a esta vulnerabilidad, es necesario saber, que es un tipo de ataque que se extiende cada día más, hoy en día es muy común encontrar sitios y usuarios afectados por este tipo de agresión. 

Ahora bien, la forma de Protección también son métodos básicos y de fácil implementación, que no conllevan ninguna tareacomplicada que signifique un retraso significativo en el tiempo de desarrollo de la aplicación, ni un quebradero de cabeza para implementar en sitios ya desarrollados, ya que dicha solución consiste en implantar un sistema de validación en los campos de entrada de datos, además de tener claro que no podemos fiarnos de datos que vengan de nuestras propias bases de datos cuando estos datos pueden serinsertados o modificados por el usuario. 

La clave primordial en el campo de la seguridad es no confiar en la entrada de datos de ningún usuario, ya que en algún momento estas entradas se puede convertir en una inserción de código malicioso, es por ello que la aplicación debe de validar cada uno de los campos en donde el usuario pueda o le sea requerido el ingreso de datos y dejar de lado lapolítica de confianza al usuario. 

Su nombre original es "Cross Site Scripting", y es abreviado como XSS para no ser confundido con las siglas CSS, (hojas de estilo en cascada).
Las vulnerabilidades de XSS originalmente abarcaban cualquier ataque que permitiera ejecutar código de "scripting", como VBScript o JavaScript, en el contexto de otro sitio web (y recientemente esto se podría clasificarmás correctamente como "distintos orígenes").
Estos errores se pueden encontrar en cualquier aplicación que tenga como objetivo final, el presentar la información en un navegador web. No se limita a sitios web, ya que puede haber aplicaciones locales vulnerables a XSS, o incluso el navegador en sí. El problema está en que usualmente no se validan correctamente los datos de entrada que son usados encierta aplicación. Esta vulnerabilidad puede estar presente de forma directa (también llamada persistente) o indirecta (también llamada reflejada).

* Directa (Persistente): este tipo de XSS comúnmente filtrado, y consiste en embeber código HTML peligroso en sitios que lo permitan; incluyendo así etiquetas como <script> o <iframe>.
* Indirecta (Reflejada): este tipo de XSSconsiste en modificar valores que la aplicación web utiliza para pasar variables entre dos páginas, sin usar sesiones y sucede cuando hay un mensaje o una ruta en la URL del navegador, en una cookie, o cualquier otra cabecera HTTP (en algunos navegadores y aplicaciones web, esto podría extenderse al DOM del navegador).

¿A quién Afecta?

El Cross-Site-Scripting es una vulnerabilidad que puedecausar un impacto tanto a una aplicación web como a usuarios que de manera inconsciente activen dicha secuencia de comandos. 

Dicho código malicioso se compone de cadenas de datos cuyo contenido son scripts completos contenidos en enlaces o ejecutados desde formularios. 
Dicho código malicioso se compone de cadenas de datos cuyo contenido son scripts completos contenidos en enlaces o...