Esta página contém informações sobre o problema de segurança Cross Site Scripting, como ele afeta o próprio Apache e como se proteger adequadamente contra ele ao usar tecnologias relacionadas ao Apache

Para obter uma visão geral do problema, consulte o CERT Advisory CA-2000-02 que foi lançado sobre o problema. Você também deve revisar o documento de dicas técnicas Compreendendo a mitigação de conteúdo malicioso para desenvolvedores da Web. O comunicado do CERT também contém links para vários documentos que a Microsoft publicou sobre o problema, que também valem a pena revisar se esse problema afetar você. As informações contidas nesses documentos não serão repetidas aqui; esta informação pressupõe que você leu esses documentos e está familiarizado com o problema

Gostaríamos de enfatizar que este não é um ataque contra qualquer bug específico em um software específico. Não é um problema do Apache. Não é um problema da Microsoft. Não é um problema do Netscape. Na verdade, nem mesmo é um problema que possa ser claramente definido como um problema de servidor ou de cliente. É um problema que é verdadeiramente multiplataforma e é o resultado de interações imprevistas e inesperadas entre vários componentes de um conjunto de sistemas complexos interconectados

Existem bugs específicos em uma ampla variedade de produtos de servidor da Web, incluindo o Apache, que permitem ou contribuem para a exploração desse problema de segurança. Esses bugs não deveriam estar lá e precisam ser corrigidos. Mas é fundamental perceber que esta é apenas uma pequena parte do problema total. O problema mais sério está em todo o código específico do site que gera conteúdo dinâmico. Estamos trazendo essas informações para educá-lo sobre os problemas que foram descobertos no Apache relacionados a esse problema de segurança, mas, mais importante, ajudar a educá-lo sobre como isso pode afetar seu próprio código local desenvolvido usando tecnologias relacionadas ao Apache e como você pode consertá-lo

Não há um patch "bala de ouro"que os fornecedores de servidor ou cliente possam lançar que corrigirá magicamente esse problema em todos os servidores ou clientes da Web que usam esse produto


Também gostaríamos de ressaltar que é importante entender que esse não é o problema antigo e conhecido de que, se um site permite que o usuário A envie conteúdo que é visualizado pelo usuário B, ele deve ser codificado corretamente. Essa vulnerabilidade ocorre quando o conteúdo é enviado e visualizado estritamente pelo usuário A. Devido à dificuldade de codificar adequadamente a saída em todas as situações, muitos sites não se preocupam com a codificação de dados que são mostrados apenas para o usuário que enviou os dados em sua solicitação devido à suposição errônea de que isso não representa uma ameaça à segurança

Isso afeta meu site?

Este é um problema de segurança sério, com implicações potenciais que estão apenas começando a ser compreendidas. No entanto, é fundamental perceber que esse problema não expõe nenhuma maneira de invadir o próprio servidor. O que isso permite é que invasores mal-intencionados assumam o controle da interação entre um usuário e um site. Se o seu site contém conteúdo totalmente estático com todas as informações acessíveis, um invasor pode ganhar muito pouco ao assumir essa interação. É provável que a coisa mais séria que um invasor possa fazer nessa situação seja alterar a aparência de uma página para um usuário específico

Os sites onde isso representa o maior perigo potencial são sites onde os usuários têm algum tipo de conta ou login e onde podem realizar ações com implicações no mundo real ou acessar dados que não deveriam estar disponíveis. Esse problema de segurança representa uma séria ameaça a esses sites; não é necessário invadir o servidor para assumir o controle de um site se, em vez disso, você puder obter acesso do lado do usuário

Ok, onde estão as informações relacionadas ao Apache?
âââ Apache 1.3.12, que fornece alguma proteção contra certas instâncias deste problema

Patch mais antigo do Apache contra 1.3.11 que abordou os problemas conhecidos nessa versão do Apache

Página de exemplos de codificação, descrevendo como codificar corretamente sua saída para se proteger contra esse problema usando tecnologias comuns relacionadas ao Apache, como módulos do Apache, Perl e PHP

Não esperamos que esta seja a última palavra sobre os métodos de exploração deste problema. É provável que haja mais alterações no Apache no futuro para ajudar os usuários a lidar com esse problema, mesmo que não sejam encontrados mais bugs no próprio Apache. Embora forneçamos a maioria das informações necessárias para que os sites se protejam contra esse tipo de ataque, ainda há muitos problemas em aberto associados a esse problema

Percebemos que este é um problema complexo e esperamos atualizar estas páginas para descrever os problemas e correções com mais profundidade conforme o tempo permitir

Por que o nome "Cross Site Scripting"?

Esse problema não é apenas sobre scripts e não há necessariamente nada entre sites sobre isso. Então, por que o nome? Foi cunhado anteriormente, quando o problema era menos compreendido e permaneceu. Acredite, tivemos coisas mais importantes para fazer do que pensar em um nome melhor.


Você pode enviar quaisquer comentários ou sugestões sobre este conjunto de páginas para [email protected]. Observe que não posso responder a perguntas ou pedidos de assistência; portanto, se é isso que você está prestes a enviar, poupe-se do esforço.