Cross-Site Scripting Prevention

Cross-Site Scripting (XSS) er en af de mest udbredte sikkerhedssårbarheder på nettet og optræder konsekvent i OWASP Top 10. XSS opstår når en applikation inkluderer uvalideret eller uescaped brugerinput i output sendt til browseren. Dette giver angribere mulighed for at udføre JavaScript i offerets browser-kontekst, hvilket kan resultere i session hijacking, cookie theft, defacement, phishing-angreb og malware distribution. Statistikker viser at cirka 40% af alle cyberangreb involverer XSS i en eller anden form. XSS er særligt farligt fordi det kan bruges til at omgå Same-Origin Policy og få fuld adgang til alt indhold på siden, inklusive følsomme data. Der findes tre hovedtyper: Reflected XSS (ikke-persistent), Stored XSS (persistent) og DOM-based XSS, hver med deres egne karakteristika og udfordringer.

<?php
// SÅRBAR KODE - Brug ALDRIG dette i produktion!

// 1. Reflected XSS - Direkte echo af brugerinput
$name = $_GET['name'];
echo "<h1>Welcome, " . $name . "!</h1>";
// URL: page.php?name=<script>alert('XSS')</script>
// Dette vil eksekevere scriptet i brugerens browser

// 2. Stored XSS - Gemmer ondsindet input i database
$comment = $_POST['comment'];
$query = "INSERT INTO comments (text) VALUES ('$comment')";
mysqli_query($conn, $query);

// Senere når kommentarer vises:
$result = mysqli_query($conn, "SELECT text FROM comments");
while ($row = mysqli_fetch_assoc($result)) {
    echo "<p>" . $row['text'] . "</p>";
    // Hvis comment indeholder <script>steal_cookies()</script>
    // vil det køre hver gang nogen ser kommentaren!
}

// 3. XSS i HTML-attributter
$search = $_GET['q'];
echo "<input type='text' value='" . $search . "'>";
// URL: page.php?q=' onload='alert(document.cookie)
// Resulterer i: <input type='text' value='' onload='alert(document.cookie)'>

// 4. XSS i JavaScript-kontekst
$user_data = $_GET['data'];
echo "<script>var userData = '" . $user_data . "';</script>";
// URL: page.php?data='; alert('XSS'); //
// Resulterer i: var userData = ''; alert('XSS'); //';

// 5. DOM-based XSS via PHP
$callback = $_GET['callback'];
echo "<script>" . $callback . "(data);</script>";
// URL: page.php?callback=maliciousFunction

// 6. XSS i href-attribut
$url = $_GET['url'];
echo "<a href='" . $url . "'>Click here</a>";
// URL: page.php?url=javascript:alert('XSS')
// eller: page.php?url=data:text/html,<script>alert('XSS')</script>

// 7. XSS gennem CSS
$color = $_GET['color'];
echo "<div style='color: " . $color . "'>Text</div>";
// URL: page.php?color=red; background: url(javascript:alert('XSS'))

// 8. Usikker JSON output
header('Content-Type: application/json');
echo json_encode(['message' => $_POST['message']]);
// Hvis Content-Type ikke sættes korrekt eller browseren gætter forkert
?>