จากที่ทาง www.datasafehouse.net ซึ่งเป็นบริการเสริมสร้างความปลอดภัยให้กับเว็บไซต์ได้เปิดเผยสถิติเกี่ยว กับเว็บไซต์ในประเทศไทยที่มีความเสี่ยงต่อการโจมตีมีถึง 41 เว็บ (รายละเอียด) ส่วนใหญ่แล้วเป็นช่องโหว่เว็บที่เกิดจากเทคนิคที่เรียกว่า XSS
Cross-site scripting (XSS) คือช่องโหว่ในคอมพิวเตอร์ชนิดหนึ่งที่มักพบในเว็บแอพพลิเคชั่นซึ่งยอมให้
ผู้ใช้เว็บที่มีเจตนาร้ายสามารถส่งโค้ดคำสั่งเข้าไปในหน้าเว็บที่ผู้ใช้เว็บคนอื่น ๆ เปิดดู ตัวอย่างของโค้ดดังกล่าวได้แก่
โค้ด HTML และสคริปต์ฝั่งไคลเอ็นท์ ผู้โจมตีสามารถใช้ช่องโหว่ cross-site scripting เพื่อหลบหลีกมาตรการ
ควบคุมการเข้าถึง เช่น same origin policy เมื่อไม่นานมานี้ช่องโหว่ประเภทนี้ถูกใช้เพื่อสร้างการโจมตีฟิชชิ่งและช่อง
โหว่เบราว์เซอร์อันทรงพลัง แต่เดิม Cross-site script ใช้ตัวย่อว่า CSS อย่างไรก็ตามตัวย่อนี้ไม่เป็นที่นิยมอีกต่อไป
ความเป็นมาการโจมตี XSS
เมื่อ เน็ตสเคปเผยแพร่ภาษาจาวาสคริปต์เป็นครั้งแรก พวกเขาตระหนักถึงความเสี่ยงด้านความปลอดภัยของการยอมให้เว็บเซิร์ฟเวอร์ สามารถส่งโค้ดที่สามารถเอ็กซิคิวท์ได้มายังเบราว์เซอร์ (ถึงแม้จะเพียงแต่ใน sandbox ของเบราว์เซอร์ก็ตาม) ปัญหาหลักในกรณีนี้เกิดขึ้นเมื่อผู้ใช้เปิดมากกว่าหนึ่งหน้าต่างในคราว เดียวกัน ในบางครั้งสคริปต์จากหน้าหนึ่งควรได้รับอนุญาตให้สามารถเข้าถึงข้อมูลในอีก หน้าหนึ่งหรือออบเจคท์หนึ่งได้ นอกจากนั้นแล้วควรปฏิเสธอย่างเข้มงวด เนื่องจากเว็บไซต์ที่มีเจตนาร้ายอาจพยายามขโมยข้อมูลข่าวสารที่เป็นความลับ โดยใช้วิธีนี้ ด้วยเหตุผลนี้จึงมีการเผยแพร่การใช้ same-origin policy โดยพื้นฐานแล้วนโยบายนี้ยอมให้มีการปฏิสัมพันธ์กันระหว่างออบเจคท์และ หน้าต่าง ๆ ตราบใดที่ออบเจคท์เหล่านี้มาจากโดเมนและโปรโตคอลเดียวกัน ด้วยวิธีนี้เว็บเพจมุ่งร้ายไม่สามารถเข้าถึงข้อมูลความลับที่อยู่ในในอีก หน้าต่างหนึ่งของเบราว์เซอร์ผ่านทางจาวาสคริปต์ได้
ตั้งแต่นั้นมา ได้มีการนำนโยบายควบคุมการเข้าถึงต่าง ๆ มาใช้กับเบราว์เซอร์และภาษาฝั่งไคลเอ็นท์ตัวอื่น ๆ เพื่อป้องกันผู้ใช้จากเว็บไซต์ที่มีเจตนาร้าย โดยทั่วไปช่องโหว่ cross-site scripting มักจะถูกมองว่าเป็นช่องโหว่ที่ยอมให้ผู้โจมตีสามารถหลบหลีกกลไกป้องกันเหล่า นี้ได้ โดยการค้นวิธีการที่ชาญฉลาดในการส่งสคริปต์มุ่งร้ายเข้าไปในหน้าเว็บของ โดเมนอื่น ๆ ผู้โจมตีสามารถยกระดับการเข้าถึงเนื้อหาของเว็บที่เป็นความลับ คุกกี้ และออบเจคท์อื่น ๆ หลากหลาย
ในปัจจุบันมีช่องโหว่ XSS ที่รู้จักกันอยู่สามชนิด (จะเรียกว่า ชนิด 0, ชนิด 1, และ ชนิด 2 เพื่อใช้ในการอธิบายแต่ชื่อเหล่านี้ไม่ได้เป็นชื่อมาตรฐานที่ใช้กัน ถ้าเป็นไปได้ก็จะกล่าวถึงชื่อเรียกอื่น ๆ ด้วย)
