Анализ уязвимости: Cross-Site Scripting in Rust

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in Rust. Side-by-side vulnerable vs secure code examples for Askama, Tera auto-escaping, and Actix-web HTML rendering.

💡 Простыми словами (ELI5)

Представьте, что кто-то прикрепил записку на общую доску объявлений: 'Каждый прочитавший обязан отдать свой кошелек стоящему рядом человеку'. Если бы прохожие слепо подчинялись запискам на доске, любой мог бы украсть деньги всех посетителей.

Ключевые понятия и термины

Web Application Security: Технический термин (Web Application Security): Core architecture component affected by CWE-79.
CWE-79: Технический термин (CWE-79): Standard Common Weakness Enumeration classification for xss-rust.
Defense-in-Depth: Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Внедрение вредоносного скрипта

Атакующий вводит HTML-теги или JavaScript-код (например, <script> или <img onerror=...>) в поля форм или параметры URL.

Step 2

Вывод в DOM без экранирования

Приложение отображает введенные данные в HTML-странице без контекстного экранирования специальных символов.

Step 3

Разбор и выполнение в браузере жертвы

Браузер пользователя распознает спецсимволы как исполняемый код и запускает вредоносный сценарий.

Step 4

Кража сессии и перехват управления

Скрипт читает document.cookie и токены из localStorage, передавая управление учетной записью злоумышленнику.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ

// format! has no HTML awareness
let body = format!(
  "<div>Welcome, {}</div>", name
);

✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ

// Askama auto-escapes .html templates
#[derive(Template)]
#[template(path = "welcome.html")]
struct Welcome<'a> { name: &'a str }
// welcome.html: <div>Welcome, {{ name }}</div>

Чек-лист по защите системы для инженеров

✓Рекомендация по безопасности: Render HTML through an auto-escaping template crate (Askama, Tera) — never build it with format!.
✓Убедитесь, что each template's escape mode explicitly rather than assuming it from the file extension.
✓Рекомендация по безопасности: Apply HTML-context escaping on top of JSON serialization when embedding data in a <script> block.