flawopen.com/xss/Go

● CWE-79 · Высокий
Исследования · FlawOpen

Анализ уязвимости: Cross-Site Scripting in Go

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in Go. Side-by-side vulnerable vs secure code examples for html/template contextual escaping and Gin responses.

💡 Простыми словами (ELI5)

Представьте, что кто-то прикрепил записку на общую доску объявлений: 'Каждый прочитавший обязан отдать свой кошелек стоящему рядом человеку'. Если бы прохожие слепо подчинялись запискам на доске, любой мог бы украсть деньги всех посетителей.

Ключевые понятия и термины

Web Application Security
Технический термин (Web Application Security): Core architecture component affected by CWE-79.
CWE-79
Технический термин (CWE-79): Standard Common Weakness Enumeration classification for xss-go.
Defense-in-Depth
Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Внедрение вредоносного скрипта

Атакующий вводит HTML-теги или JavaScript-код (например, <script> или <img onerror=...>) в поля форм или параметры URL.

Step 2

Вывод в DOM без экранирования

Приложение отображает введенные данные в HTML-странице без контекстного экранирования специальных символов.

Step 3

Разбор и выполнение в браузере жертвы

Браузер пользователя распознает спецсимволы как исполняемый код и запускает вредоносный сценарий.

Step 4

Кража сессии и перехват управления

Скрипт читает document.cookie и токены из localStorage, передавая управление учетной записью злоумышленнику.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ
// text/template does no HTML escaping
import "text/template"

t := template.Must(
  template.New("w").Parse(
    "<div>Welcome, {{.}}</div>"))
t.Execute(w, name)
✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
// html/template escapes by context
import "html/template"

t := template.Must(
  template.New("w").Parse(
    "<div>Welcome, {{.}}</div>"))
t.Execute(w, name)

Чек-лист по защите системы для инженеров

References