Анализ уязвимости: Cross-Site Scripting in Kotlin

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in Kotlin. Side-by-side vulnerable vs secure code examples for Ktor HTML DSL and Thymeleaf template escaping.

💡 Простыми словами (ELI5)

Представьте, что кто-то прикрепил записку на общую доску объявлений: 'Каждый прочитавший обязан отдать свой кошелек стоящему рядом человеку'. Если бы прохожие слепо подчинялись запискам на доске, любой мог бы украсть деньги всех посетителей.

Ключевые понятия и термины

Web Application Security: Технический термин (Web Application Security): Core architecture component affected by CWE-79.
CWE-79: Технический термин (CWE-79): Standard Common Weakness Enumeration classification for xss-kotlin.
Defense-in-Depth: Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Внедрение вредоносного скрипта

Атакующий вводит HTML-теги или JavaScript-код (например, <script> или <img onerror=...>) в поля форм или параметры URL.

Step 2

Вывод в DOM без экранирования

Приложение отображает введенные данные в HTML-странице без контекстного экранирования специальных символов.

Step 3

Разбор и выполнение в браузере жертвы

Браузер пользователя распознает спецсимволы как исполняемый код и запускает вредоносный сценарий.

Step 4

Кража сессии и перехват управления

Скрипт читает document.cookie и токены из localStorage, передавая управление учетной записью злоумышленнику.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ

// untrusted HTML loaded with JS + native bridge
webView.settings.javaScriptEnabled = true
webView.addJavascriptInterface(
  NativeBridge(), "Android"
)
webView.loadData(untrustedHtml,
  "text/html", "UTF-8")

✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ

// sanitize first; avoid exposing a bridge
val safeHtml = sanitize(untrustedHtml)
webView.settings.javaScriptEnabled = false
webView.loadData(safeHtml,
  "text/html", "UTF-8")

Чек-лист по защите системы для инженеров

✓Очищайте и экранируйте any untrusted HTML before loading it into a WebView.
✓Отключите или ограничьте JavaScript in the WebView unless genuinely required.
✓Никогда не register addJavascriptInterface() on a WebView that can load untrusted content.
✓Рекомендация по безопасности: On the server side, use th:text over th:utext — same rule as Java.