Het belangrijkste verschil tussen XSS en CSRF is dat in XSS (of Cross Site Scripting), de site de kwaadaardige code accepteert, terwijl in CSRF (of Cross Site Request Forgery) de kwaadaardige code wordt opgeslagen in de derde partij sites. De XSS is een type computerbeveiligingskwetsbaarheid in webapplicaties waarmee aanvallers client-side scripts kunnen injecteren in webpagina's die door andere gebruikers worden bekeken. Aan de andere kant is CSRF een soort kwaadaardige activiteit van een hacker of een website die ongeautoriseerde opdrachten verzendt die de webtoepassing van de gebruiker zal vertrouwen.
Webontwikkeling is het proces van het programmeren van een website volgens de eisen van de klant. Elke organisatie onderhoudt websites. Deze websites helpen om het bedrijf te verbeteren en winst te maken. Tegelijkertijd kunnen er bedreigingen zijn die de functionaliteit van de website aantasten. Twee daarvan zijn XSS en CSRF.
Wat is XSS?
XSS is een code-injectie-aanval die kwaadaardige code in de website injecteert. Het is een van de meest voorkomende aanvallen op websites. Het kan van invloed zijn op de website en kan ook van invloed zijn op de gebruikers van die website. Met andere woorden, wanneer er een XSS-aanval op de website plaatsvindt, wordt die code door de browser uitgevoerd in de gebruikers van die website.
Figuur 01: XSS-aanval
Een veelgebruikte taal om kwaadaardige code voor XSS te schrijven is JavaScript. XSS kan cookies van gebruikers stelen. Het kan de webpagina wijzigen om er anders uit te zien en zich anders te gedragen. Bovendien kan het malwaredownloads weergeven en gebruikersinstellingen wijzigen.
Er zijn twee soorten XSS-aanvallen. Ze worden persistent en niet-persistent genoemd. Bij een aanhoudende XSS-aanval wordt de kwaadaardige code opgeslagen in de websitedatabase. De gebruiker kan er zonder medeweten toegang toe krijgen. De niet-persistente XSS-aanval wordt ook wel Reflected XSS genoemd. Het verzendt het kwaadaardige script als een HTTP-verzoek. Dat zijn de twee belangrijkste typen in XSS.
Wat is CSRF?
In een website is er een clientzijde en de serverzijde. De webpagina's, formulieren bevinden zich aan de klantzijde. De serverzijde voert een actie uit wanneer de gebruiker handelt. Serverzijde krijgt ook verzoeken van andere websites.
CSRF-aanval bedriegt de gebruiker om te communiceren met een pagina of een script op een site van een derde partij. Het genereert een kwaadaardig verzoek naar de site van de gebruiker. Maar de server gaat ervan uit dat het een verzoek is van een geautoriseerde website. Wanneer de gebruiker het accepteert, kan een aanvaller de controle overnemen over het gebruik van de gegevens die in het verzoek zijn verzonden.
Een voorbeeld is het volgende. Een gebruiker logt in op zijn bankrekening. De bank geeft hem een sessietoken. Een hacker kan de gebruiker misleiden om op een valse link te klikken die naar de bank verwijst. Wanneer de gebruiker op de link klikt, wordt de vorige sessietoken gebruikt. Vervolgens wordt het verzoek van de hacker uitgevoerd en wordt het gebruikersaccount gehackt. Hij kan geld overmaken van zijn rekening. Het verzoek aan de bank is vervalst omdat het dezelfde sessietoken van de gebruiker gebruikt. Over het algemeen is het belangrijk om te weten hoe u de website kunt beschermen tegen CSRF-aanvallen bij webontwikkeling.
Wat is het verschil tussen XSS en CSRF?
XSS staat voor Cross Site Scripting en CSRF staat voor Cross Site Request Forgery. XSS is een type computerbeveiligingskwetsbaarheid in webapplicaties waarmee aanvallers client-side scripts kunnen injecteren in webpagina's die door andere gebruikers worden bekeken. CSRF is een soort kwaadaardige activiteit van een hacker of een website die ongeautoriseerde opdrachten verzendt die de webtoepassing van de gebruiker zal vertrouwen. XSS vereist ook JavaScript om de kwaadaardige code te schrijven, terwijl de CSRF geen JavaScript nodig heeft.
Bovendien accepteert de site in XSS de kwaadaardige code, terwijl in CSRF de kwaadaardige code wordt opgeslagen op sites van derden. Dit is het belangrijkste verschil tussen XSS en CSRF. Gewoonlijk is een site die kwetsbaar is voor XSS-aanvallen ook kwetsbaar voor de CSRF-aanval. Een site met bescherming tegen XSS kan echter nog steeds kwetsbaar zijn voor CSRF-aanvallen.
Samenvatting – XSS vs CSRF
XSS en CSRF zijn twee soorten aanvallen op een website. XSS staat voor Cross Site Scripting terwijl CSRF staat voor Cross Site Request Forgery. Het verschil tussen XSS en CSRF is dat in XSS de site de kwaadaardige code accepteert, terwijl in CSRF de kwaadaardige code wordt opgeslagen op sites van derden.
