XSS autoinfligido

El Self-XSS ( self cross-site scripting ) es un tipo de vulnerabilidad de seguridad que se utiliza para obtener el control de las cuentas web de las víctimas. En un ataque Self-XSS, la víctima ejecuta código malicioso en su propio navegador web , exponiendo así su información personal al atacante. ^{[ 1 ]}

Self-XSS (acrónimo de Self Cross-Site Scripting) funciona engañando a los usuarios para que copien y peguen contenido malicioso en su navegador web. Esto incluye tanto cuando un usuario copia una carga útil en un campo de entrada como en la consola del desarrollador web . ^{[ 1 ]} Por lo general, el atacante publica un mensaje que indica que, al copiar y ejecutar cierto código, el usuario podrá recibir recompensas virtuales o hackear un sitio web. En realidad, el código permite al atacante secuestrar la cuenta de la víctima. ^{[ 2 ]} Self-XSS suele tener un impacto muy bajo; sin embargo, al combinarlo con una vulnerabilidad de falsificación de solicitud entre sitios, su impacto aumenta hasta el nivel de un cross-site scripting típico . ^{[ 3 ]}

En el pasado, se produjo un ataque muy similar, en el que se engañaba a los usuarios para que pegaran código JavaScript malicioso en la barra de direcciones . Cuando los proveedores de navegadores lo impidieron, evitando la ejecución sencilla de JavaScript desde la barra de direcciones, ^{[ 4 ] [ 5 ]} los atacantes comenzaron a utilizar Self-XSS en su forma actual. Los proveedores de navegadores web y los sitios web han tomado medidas para mitigar este ataque. Firefox ^{[ 6 ]} y Google Chrome ^{[ 7 ]} han comenzado a implementar medidas de seguridad para advertir a los usuarios sobre los ataques Self-XSS. Facebook y otros ahora muestran un mensaje de advertencia cuando los usuarios abren la consola de desarrollador web y enlazan a páginas que explican el ataque en detalle. ^{[ 8 ] [ 9 ]}

La parte "self" del nombre proviene del hecho de que el usuario se ataca a sí mismo. La parte "XSS" proviene de la abreviatura de cross-site scripting, ya que ambos ataques resultan en la ejecución de código malicioso en un sitio legítimo. Sin embargo, Self-XSS tiene un impacto mucho menor que la mayoría de las demás vulnerabilidades XSS porque se basa en la ingeniería social. Además, el riesgo de Self-XSS derivado del uso de la consola de desarrollador web no puede ser eliminado por el operador del sitio, ^{[ 10 ]} a diferencia de otras vulnerabilidades XSS que sí pueden ser solucionadas.

• McCaney, Kevin (16 de noviembre de 2011). "4 maneras de evitar la vulnerabilidad en el ataque de spam de Facebook" . GCN . 1105 Public Sector Media Group . Recuperado el 28 de septiembre de 2014 .