Что такое XSS-атака и как от неё защититься в Go?

Question

Что такое XSS-атака и как от неё защититься в Go?

Тип вопроса: Безопасность Вероятность: 10% Категория: Golang Разработчик

Ответ

XSS (Cross-Site Scripting) — это тип атаки на веб-приложения, при которой злоумышленник внедряет вредоносный код (обычно JavaScript) на страницу, которую просматривают другие пользователи. Цель — выполнить этот код в браузере жертвы.

Типы XSS-атак:

Хранимая (Stored XSS): Вредоносный скрипт сохраняется на сервере (например, в базе данных в комментарии пользователя) и выполняется каждый раз, когда страница с этим скриптом запрашивается другими пользователями.
Отражённая (Reflected XSS): Скрипт является частью запроса к серверу (например, в URL-параметре) и "отражается" в ответе. Пользователь должен перейти по специально сформированной ссылке.
DOM-based XSS: Уязвимость находится в клиентском коде. Вредоносная нагрузка выполняется в результате изменения DOM-дерева страницы без обращения к серверу.

Как защититься в Go:

Основной принцип защиты — никогда не доверять данным, пришедшим от пользователя, и всегда экранировать их перед выводом.

Использование пакета html/template (основной метод): Этот пакет автоматически выполняет контекстное экранирование данных. Он понимает, куда вставляются данные (в HTML-тег, атрибут, URL), и применяет нужный тип экранирования.

❌ Небезопасно (ручная вставка):
```
// userInput = "<script>alert('xss')</script>"
fmt.Fprintf(w, "<div>%s</div>", userInput)
// Вывод: <div><script>alert('xss')</script></div>
```
✅ Безопасно (с html/template):
```
import "html/template"

// userInput = "<script>alert('xss')</script>"
tmpl, _ := template.New("safe").Parse(`<div>{{.}}</div>`)
tmpl.Execute(w, userInput)
// Вывод: <div>&lt;script&gt;alert(&#39;xss&#39;)&lt;/script&gt;</div>
```
Валидация и очистка (Sanitization): Проверяйте и очищайте пользовательский ввод на стороне сервера перед сохранением или использованием. Например, с помощью библиотек вроде bluemonday.
Content Security Policy (CSP): Используйте HTTP-заголовок Content-Security-Policy, чтобы указать браузеру, из каких источников разрешено загружать и выполнять скрипты. Это мощный дополнительный уровень защиты.

Ответ 18+ 🔞

А, XSS! Ну это же классика, блядь! Прямо как в том анекдоте про Герасима и Муму — один хуй знает, что в итоге выплывет, если не контролировать, что в озеро бросаешь.

Короче, XSS — это когда какой-то умник пытается впихнуть свой ёбаный скрипт на твою страницу, чтобы он выполнился в браузере у других лохов. Цель — украсть куки, сессию, или просто нагадить алертом «ТЫ ЛОХ», блядь.

Какие бывают, эти уёбки:

Хранимая (Stored XSS): Это как вонючий носк под кровать засунуть — он там лежит, в базе данных, и воняет при каждом открытии страницы. Комментарий, пост, профиль — идеальное место.
Отражённая (Reflected XSS): Это как подсунуть человеку зеркало, а он, мудак, в него смотрится и получает скриптом по ебалу. Ссылка специальная, в параметрах — вредоносная нагрузка, сервер её тупо отражает назад в ответе.
DOM-based XSS: А это уже высший пилотаж, ёпта! Сервер тут вообще ни при чём, вся хуйня творится прямо в браузере жертвы, потому что фронтенд-код, как последний распиздяй, бездумно тыкает пользовательские данные в DOM.

Как не обосраться с этим в Go:

Главное правило — НИКОГДА, БЛЯДЬ, НЕ ДОВЕРЯЙ ВВОДУ ОТ ПОЛЬЗОВАТЕЛЯ. Это как не доверять соседу с отвёрткой возле твоего замка. Всё, что пришло, надо экранировать, валидировать и прибивать гвоздями к полу.

Используй html/template (это святое!): Этот пакет — твой бронежилет. Он сам, хитрая жопа, понимает, куда ты данные суёшь (в текст, в атрибут, в URL), и экранирует их правильно. Не изобретай велосипед!

❌ Делать так — это прямой путь в ад, на хуй:

// userInput = "<script>alert('ТЫ ЛОХ')</script>"
fmt.Fprintf(w, "<div>%s</div>", userInput)
// На выходе получишь: <div><script>alert('ТЫ ЛОХ')</script></div>
// И все твои пользователи охуеют от алертов.

✅ Делать ТАК — вот это по-взрослому:

import "html/template"

// userInput = "<script>alert('ТЫ ЛОХ')</script>"
tmpl, _ := template.New("safe").Parse(`<div>{{.}}</div>`)
tmpl.Execute(w, userInput)
// На выходе: <div>&lt;script&gt;alert(&#39;ТЫ ЛОХ&#39;)&lt;/script&gt;</div>
// Скрипт — просто безобидный текст. Красота, ёпта!

Валидация и очистка (Sanitization): Иногда мало экранировать, надо ещё и почистить. Например, если у тебя форум с HTML-разметкой. Бери библиотеку вроде bluemonday — она выжмет из текста все соки, оставив только разрешённые теги. Чистота — залог здоровья, блядь!
Content Security Policy (CSP): Это как поставить шлагбаум и вооружённую охрану вокруг своего сайта. Ты говоришь браузеру: «Слушай сюда, дружок-пирожок, скрипты грузи ТОЛЬКО отсюда и отсюда, а всё остальное — нахуй». Даже если скрипт как-то просочится, он не выполнится. Мощнейшая штука, игнорировать её — преступление.

Запомни: безопасность — это не фича, которую можно добавить потом. Это основа, блядь. Иначе твой сайт превратится в полигон для всяких ебланов, которые будут радостно ебать твоих пользователей левыми скриптами. А тебе потом оправдываться: «Я был мудак, блядь... неправильно экранировал, а хуй проверишь!».