Клиентские уязвимости

CSRF заставляет браузер жертвы отправить на ваш сайт запрос, меняющий состояние, со страницы атакующего; cookie прикрепляются автоматически, поэтому сервер видит легитимного пользователя. Эндпоинт уязвим, когда аутентифицирует только по cookie и не требует непредсказуемого значения.

Reflected XSS возвращает ввод атакующего в ответе; stored XSS сохраняет его и отдаёт каждому посетителю; DOM XSS не доходит до сервера — клиентский скрипт пишет недоверенные данные в sink. Все три выполняются в вашем origin и действуют от имени пользователя.

Отражение Origin запроса в Access-Control-Allow-Origin вместе с credentials даёт любому сайту читать аутентифицированные ответы вашего API. null не безопасное значение — его шлют iframe в песочнице — поэтому сверяйте origin с точным списком, а не отражайте.

SameSite=Lax или Strict не даёт cookie уходить с межсайтовыми запросами, но это умолчание браузера, а не проверка на запрос. Synchronizer-токен хранится на сервере и сверяется в каждом запросе — самый надёжный вариант. Double-submit не хранит состояния, но его ослабляет поддомен.

Начните с источников — location.hash, location.search, document.referrer, данные postMessage — и проследите значение до sink, которые его разбирают или исполняют, таких как innerHTML, document.write и eval. Любой неочищенный путь от источника к sink и есть баг.

Каждый sink разбирает данные по-своему — HTML-текст требует entity-кодирования, атрибуты — кавычек, строки JavaScript — JS-экранирования, URL — percent-кодирования. HTML-кодированные данные в блоке <script> или в href исполняемы, поэтому энкодер выбирают по назначению.

Политика одного источника защищает вас по умолчанию; CORS её лишь ослабляет, поэтому разрешающая конфигурация — уязвимость, а не защита. Он задаёт, что браузер даёт прочитать скрипту; небраузерные клиенты его игнорируют. Preflight проверяет метод и заголовки, но не авторизацию.

Браузер исполняет только разрешённые политикой скрипты. Случайный nonce на каждый ответ либо хеш sha256 точного содержимого помечает ваши теги <script> — у внедрённого скрипта нет ни того, ни другого. unsafe-inline разрешает любой инлайн-скрипт, включая внедрённый.

Постить в ваше окно может любое окно, поэтому обработчик обязан сравнить event.origin с точным ожидаемым origin — никогда не подстрокой — а отправитель должен указывать конкретный origin, а не *. Даже тогда event.data — это данные, поэтому выводите их через textContent.

Кликджекинг грузит вашу страницу в прозрачном фрейме поверх содержимого атакующего, поэтому клик жертвы попадает на вашу настоящую кнопку, хотя она думает, что нажала другое. Управляйте фреймингом директивой frame-ancestors, оставив X-Frame-Options для старых браузеров.

Без него открытая страница получает ссылку window.opener на вашу вкладку и может увести её на фишинговую копию вашей страницы входа — это reverse tabnabbing. rel=noopener обрывает эту ссылку; rel=noreferrer ещё и убирает Referer. Задавайте его явно.

В DOM попал инлайн-скрипт без nonce, хотя маршрут таких не отдаёт, значит его внедрили на клиенте — это DOM XSS. Поисковый запрос идёт из URL в заголовок результатов через разбирающий sink. Политика заблокировала и сообщила; чинить надо sink, а не политику.

Два дефекта. Обработчик не проверяет event.origin, поэтому управлять им может любое окно, и он пишет пользовательский текст в innerHTML — разбирающий sink. Сравните event.origin строго с https://app.example.com, выйдите при несовпадении и выводите через textContent.

Рекурсивное слияние, копирующее ключи атакующего, может писать через __proto__, добавляя свойство, которое наследует любой обычный объект. Сама запись инертна — багом она становится, когда gadget читает это свойство как конфигурацию, например опцию шаблона или HTML-sink.

Рукопожатие — это HTTP-запрос upgrade, который несёт cookie, но не подчиняется CORS, поэтому страница атакующего может открыть сокет от имени вошедшего пользователя и читать поток. Проверяйте Origin на сервере по списку разрешённых и аутентифицируйте коротким токеном.

Сначала выкатите Content-Security-Policy-Report-Only с эндпоинтом сбора и дайте трафику перечислить инлайн-обработчики и сторонние хосты. Затем уберите инлайновые onclick и eval, вынесите код во внешние файлы, добавьте nonce и включайте enforce, когда отчёты иссякнут.