ثغرات ال XSS تستهدف تطبيقات المواقع

يحاول مطورو التطبيقات على الويب استخدام أساليب برمجية متطورة لحماية التطبيقات وحماية المستخدمين وزوار التطبيق، ولكن كثيراً ما وقع مطورو التطبيقات رهن عمليات اختراق ومحاولات غير شرعية باستخدام بعض التقنيات والدوال البرمجية وأساليب لحقن التطبيقات وخداع المستخدمين، ففي بعض الأوقات يركز المبرمجون على أداء وكفاءة التطبيق ودعم الكثير من اللغات عوضا عن التركيز على أمن وحماية التطبيق مما يسهل على المخترقين مع تعدد الخيارات اكتشاف نقاط ضعف تستغل فيما بعد كثغرات لاختراق التطبيق.
يوضح عمرو العولقي اخصائي أمن المعلومات أن خطورة ال XSS تكمن في استهدافها للتطبيق و مديري التطبيق كما يمكن استخدام التطبيق كوسيلة مساعدة لاختراق المستخدمين له، من جهة أخرى تعطي XSS الصلاحيات لحقن اكواد html في التطبيق المكتشف فيه الثغرة ويكون ذلك بعد اكتشاف خطأ برمجي داخل التطبيق مما يساعد المخترق في استخدام ال XSS في أكثر من عملية انتهاك واختراق منها عمليات ال phishing وهي عمليات الاصطياد وخداع المستخدمين، وعمليات URL redirection التي يستخدم المخترق فيها ثقة الجهة المستخدمة للتطبيق ليقوم بوضع كودات برمجية هدفها خداع المستخدم وتحويله لموقع آخر ليدخل بياناته أو استغلال ثغرات المتصفح لتحويله على موقع آخر ليقوم بتحميل برامج خبيثة في جهازه دون علمه ومن أهم الاستخدامات ل XSS هي التي تستهدف سرقة "cookies" الكوكيز وهي عبارة عن ملف يتكون عادة من حروف مشفرة يقوم التطبيق بتحميلها على جهاز المستخدم للتطبيق بعد زيارته له مباشرة، والتي تساعد التطبيق معرفة المستخدم في كل مرة يزور فيها التطبيق والتعرف على هويته، ففي الأصل هي تقنية لمساعدة المستخدم وراحته ولكن قد يساء استخدامها فيقوم المخترق بعد سرقتها بواسطة XSS دخول التطبيق منتحلا هوية المستخدم أو مدير النظام الذي تمت سرقة ملفات الكوكيز الخاصة به في التطبيق. كما نوه العولقي أنه بالنسبة للمستخدمين فإن تطبيق ثغرات الXSS يكون عبر المتصفح لأنه يجب على المستخدم دخول الموقع المصاب تطبيقه أو الضغط على عنوانه على شبكة الانترنت, فكلما زاد وعينا بأمن المعلومات وتحديث متصفحات الانترنت واستخدام الآمن منها, قل الخطر من الXSS .