Typ útoku
Client-side injection a Cross-Site Scripting
Útočník dostane nedôveryhodný obsah do prehliadača používateľa a vykoná skript v kontexte dôveryhodnej aplikácie.
Prečo je tento scenár dôležitý
Stored, reflected alebo DOM-based XSS môže kradnúť relácie, meniť obsah stránky, vykonávať akcie v mene používateľa, zachytávať údaje alebo vytvoriť ďalšiu cestu k prevzatiu účtu. Zdrojom môže byť aplikácia, API, widget, tag manager alebo dodávateľský skript.
Ochrana kombinuje kontextové output encoding, bezpečné DOM API, sanitizáciu, CSP, ochranu cookies, SAST a DAST, klientsku telemetriu a kontrolu skriptov tretích strán.
Scenár používa MITRE ATT&CK® ako referenčný model. Ide o odbornú interpretáciu SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Relevantné taktiky ATT&CK
- Credential Access
- Execution
- Initial Access
Relevantné techniky ATT&CK
Referenčné rámce
Technológie a vendori SecTec
Nasledujúca hierarchia je odvodená zo schváleného mapovania ATT&CK na technológie a technológií na vendorov.