Как работает XSS

XSS (Cross-Site Scripting) - уязвимость, позволяющая внедрить вредоносный код в веб-страницу. Атакующий может выполнить JS в контексте жертвы, получив доступ к кукам, сессиям или персональным данным.

Типы XSS:

1. Reflected - скрипт в URL, отражается на странице без сохранения
2. Stored - вредоносный код сохраняется на сервере (например, в комментариях)
3. DOM-based - уязвимость в клиентском JS, изменяющем DOM

Пример уязвимого кода:

// Опасное использование innerHTML
document.getElementById('output').innerHTML = userInput;

Защита:

• Экранирование спецсимволов (<, >, & и др.)
• Использование textContent вместо innerHTML
• Content Security Policy (CSP)
• HTTP-заголовки (X-XSS-Protection, X-Content-Type-Options)