Wat is Cross-site scripting (XSS)?

Antwoord: A. Gegevens in localStorage worden niet automatisch aan verzoeken toegevoegd; de JavaScript van pagina's met dezelfde origin leest en schrijft ze

localStorage is een opslagplaats in de browser die per origin sleutels en waarden als strings bewaart; er is geen manier om een vervaldatum in te stellen, en de gegevens blijven in het algemeen bestaan tot ze worden verwijderd. Ze worden niet automatisch naar de server verzonden, dus om ze te verzenden zet JavaScript ze in een verzoek. Cookies zijn klein, in het algemeen tot ongeveer 4 KB per stuk, en worden bij elk verzoek automatisch verzonden, terwijl in localStorage grotere gegevens kunnen worden bewaard. De JavaScript van de pagina kan ze echter op elk moment lezen, dus bij een XSS-lek kan de inhoud worden gestolen. Met dit risico moet rekening worden gehouden bij het opslaan van waarden die voor authenticatie worden gebruikt.

Antwoord: B. Cross-site scripting (XSS). Tekens met een speciale betekenis, zoals < en >, escapen bij het uitvoeren van geplaatste tekst als HTML

Cross-site scripting (XSS) is een kwetsbaarheid waarbij een webapplicatie de invoer van gebruikers ongewijzigd in HTML uitvoert, zodat een script in de invoer als deel van de pagina in de browsers van bezoekers wordt uitgevoerd. Omdat het script draait als pagina van die site, kan het de sessie-informatie van de bezoeker (cookies) stelen of nepinvoervelden tonen. De fundamentele tegenmaatregel is tekens met een speciale betekenis, zoals <, >, & en aanhalingstekens, te escapen afhankelijk van de plek waar ze worden uitgevoerd (bijvoorbeeld < omzetten in &lt;), zodat ze als gewone tekens worden weergegeven. Aanvullende maatregelen zijn onder meer cookies het attribuut HttpOnly geven, zodat scripts ze niet kunnen lezen, en met een Content Security Policy beperken welke scripts mogen draaien. HTTPS beschermt het communicatiekanaal en kan niet voorkomen dat een script dat in een legitieme pagina is ingebed wordt uitgevoerd.