Межсайтовый скриптинг (XSS-атаки)
XSS — наиболее распространённый вектор веб-атаки, при котором злоумышленник внедряет вредоносный код в уязвимое приложение. При этом атака нацелена на пользователя, а не на само приложение.
Различают несколько видов межсайтового скриптинга:
Хранимый XSS (англ. Stored XSS):
Вредоносный код заранее внедрен на HTML-страницу приложения. Этот код постоянно отображается в браузере всех пользователей, посетивших эту страницу.
Отраженный XSS (англ. Reflected XSS):
Для проведения атаки злоумышленнику необходимо спровоцировать пользователя перейти по специально сформированной ссылке.
DOM-based XSS:
Уязвимость, при которой вредоносный JavaScript выполняется в браузере жертвы из-за неправильной обработки данных в DOM (Document Object Model – структура HTML-страницы).
Наиболее подвержены XSS-уязвимостям динамические элементы страницы (формы ввода данных, комментарии и т.п.).
Последствия атаки
Для пользователя успешная XSS-атака означает, что его персональные и финансовые данные попадут в руки злоумышленникам. Для организации это может означать возможные штрафы за утечку пользовательских данных.
Также XSS может привести к прямым финансовым и репутационным убыткам организации. В частности, атака может быть использована для изменения контента на сайте (дефейс) или манипуляции с ценами и бонусами (покупка товара за 1 рубль).
SQL Injection
SQL-инъекция (SQLi) — атака предполагает, что злоумышленник внедряет вредоносный код запросы, которые приложение делает к своей базе данных. Поскольку подавляющее количество баз данных строится на языке программирования Structured Query Language, атака получила название SQL-инъекции.
Как работает атака?
SQLi возможна, когда приложение некорректно фильтрует пользовательский ввод и передаёт его напрямую в SQL-запрос.
Представим, что пользователь вводит на сайте свои учетные данные, приложение сверяет их с базой данных и, если все корректно, то открывается доступ к личному кабинету. Если логин/пароль (или другие идентификаторы) введены некорректно, то система выдает отказ. Но если механизм фильтрации отсутствует, то злоумышленник может сформировать специальную команду, заставив приложение выдать закрытые данные.
Последствия атаки
Успешная реализация SQLi позволяет атакующему:
- просматривать данные, которые обычно защищены (например, личные данные пользователей).
- удалять таблицы или строки из базы данных.
- получить административные права в системе.
- удалять данные, нарушая работоспособность систем, что напрямую влияет на бизнес как с финансовой, так репутационной точки зрения.
Удаленное выполнение кода (RCE)
RCE - опасная атака, при которой злоумышленник пытается выполнить определенные команды операционной системы, в которой запущено уязвимое веб-приложение.
Как работает атака?
Атакующий передаёт серверу специально сформированные данные, которые из-за отсутствия валидации попадают в функцию обработки и воспринимаются средой выполнения как исполняемые инструкции. В этот момент стирается граница между данными и кодом. Получив управление, произвольный код запускается с правами уязвимого процесса, что мгновенно компрометирует узел и позволяет загрузить дальнейшую полезную нагрузку, повысить привилегии или закрепить постоянный доступ. Среди наиболее известных RCE-уязвимостей: CVE-2021-44228 (Log4Shell) и CVE-2025-55182 (React4Shell/React2Shell).
Последствия атаки
RCE-уязвимости имеют высокую степень критичности и считаются максимально опасными, поскольку могут быть проэксплуатированы даже в том случае, если у злоумышленника нет предварительного доступа к системе или устройству. RCE равносилен полной компрометации уязвимой системы или приложения и может привести к серьезным последствиям: потеря данных, нарушение работы сервисов, распространение программ-вымогателей или другого вредоносного ПО, а также распространение атаки на другие части корпоративной сети.
Подделка серверных запросов (SSRF)
SSRF - уязвимость в веб-безопасности, которая позволяет злоумышленнику отправлять от имени сервера запросы к внешним или внутренним ресурсам.
Как работает атака?
Злоумышленники указывают URL-адрес (или изменяют существующий), и код, запущенный на сервере, считывает или отправляет на него данные. После того как злоумышленник подделает запрос, сервер получает его и пытается считать данные с измененного URL. Даже если сервисы не доступны напрямую из интернета, злоумышленники могут выбрать целевой URL, что позволит им считать данные.
Последствия атаки
Реализация данной атаки может привести к получению информации о локальных портах веб-приложения, сканированию внутренней сети, а также обходу ограничений доступа.
Масштаб ущерба от SSRF-атаки полностью зависит от конфигурации систем и изобретательности злоумышленника. Вот некоторые распространённые риски:
- Несанкционированный доступ к внутренним сервисам (админка, базы данных, внутренние API);
- Киберразведка (сканирование сети, атака на контейнерную среду);
- Утечки данных (конфиги, API-ключи, токены и т.п.).
Поскольку действия сервера внутри сети априори являются легитимными, внутренние сервисы часто работают без защиты и безоговорочно выполняют команды сервера. В итоге SSRF использует доверие инфраструктуры против неё самой.
Нарушенная Авторизация на уровне объекта (BOLA)
BOLA - уязвимость безопасности, которая возникает, когда приложение или программный интерфейс приложения (API) предоставляет доступ к объектам данных на основе роли пользователя, но не проверяет, есть ли у пользователя право на подобный доступ.
Как работает атака?
Любой запрос к объекту проходит 4 этапа:
- Аутентификация
- Извлечение параметра объекта (ID)
- Получение объекта из БД
- Проверка авторизации на уровне объекта
Ошибка, делающая атаку возможной, возникает на 4 шаге. BOLA - это не технический баг инфраструктуры, а ошибка бизнес-логики.
Последствия атаки
Эта уязвимость позволяет злоумышленникам обходить механизмы авторизации и получать доступ к конфиденциальным данным или выполнять несанкционированные действия, к которым у них иначе не было бы доступа. BOLA является частью более широкого семейства уязвимостей авторизации, которые представляют серьёзную проблему в области безопасности приложений.
Через BOLA можно:
- Читать чужие профили
- Читать заказы
- Скачивать документы
- Смотреть переписки
- Изменять данные других пользователей
- Удалять чужие ресурсы
Иногда это приводит к:
- Массовой утечке данных
- Захвату аккаунтов
- Финансовым потерям
Атака на внешние XML-сущности (XXE)
XXE - это уязвимость, которая возникает, когда сайт или сервис принимает данные в формате XML (формат обмена данными между различными системами и приложениями) и обрабатывает их небезопасно.
Как работает атака?
XML использует специальный механизм - сущности (entities), которые позволяют встраивать данные из внешних источников прямо в XML-документ. Если приложение принимает XML-файлы без дополнительной проверки, то злоумышленник может заставить приложение читать файлы с сервера или делать запросы к внутренним системам, которые не должны быть доступны извне.
Последствия атаки
В случае успешной реализации атаки злоумышленник получает возможность для:
- чтения локальных файлов сервера;
- последующего осуществления SSRF-атаки;
- сканирования внутренней сети;
- осуществления DoS-атак.
Обход пути (Path Traversal)
Path Traversal - уязвимость, при которой злоумышленник может получить доступ к файлам за пределами разрешённой директории на сервере. Атака становится возможной, когда приложение позволяет пользователю указывать имя файла, а сервер недостаточно строго проверяет, что именно запрашивается.
Как работает атака?
При атаке типа Path Traversal злоумышленник подменяет входные параметры запроса, которые веб-приложение использует для построения путей к файлам. Внедряя управляющие последовательности (например, ../), атакующий выходит за пределы разрешённой директории и получает доступ к произвольным файлам на сервере.
Последствия атаки
Сам по себе Path Traversal чаще всего даёт возможность читать файлы. Но чтение конфигураций может привести к гораздо более серьёзным последствиям:
- получению паролей к базе данных;
- получению токенов доступа;
- подключению к другим сервисам;
- дальнейшей эскалации прав;
- удалённому выполнению кода (через цепочку уязвимостей).
Часто Path Traversal становится первым шагом (разведкой) в более крупной атаке.
