Cross-Site Scripting (XSS) adalah kerentanan keamanan web kritis yang memungkinkan penyerang menyuntikkan skrip berbahaya (biasanya JavaScript) ke dalam halaman web yang dilihat oleh pengguna lain. Dampak XSS bagi website sangat merusak, mencakup pencurian data sensitif pengguna, pembajakan sesi login (session hijacking), manipulasi tampilan halaman web (defacement), hingga pengalihan pengguna ke situs phishing berbahaya yang merusak reputasi dan integritas sistem secara menyeluruh.
Matriks Dampak Serangan XSS pada Website
Tingkat keparahan dampak XSS bervariasi tergantung pada jenis kerentanan (Stored, Reflected, atau DOM-based) dan hak akses korban yang berhasil dieksploitasi oleh penyerang.
| Jenis Dampak XSS | Target Utama | Konsekuensi Teknis & Bisnis |
|---|---|---|
| Pencurian Session Cookie | Token Autentikasi Pengguna | Penyerang dapat mengambil alih akun tanpa mengetahui kata sandi korban. |
| Pengalihan (Redirection) | Traffic Pengunjung Website | Pengguna dilarikan ke situs malware atau penipuan, merusak kepercayaan. |
| Keylogging & Pencurian Kredensial | Formulir Login / Input Data | Seluruh data yang diketik pengguna terekam dan dikirim ke server penyerang. |
| Defacement / Manipulasi Konten | Tampilan Antarmuka (UI) | Mengubah isi halaman web untuk menyebarkan propaganda atau merusak reputasi brand. |
| Eksekusi Perintah Lokal (CSRF Chaining) | Sistem Backend via Browser Korban | Memaksa browser korban melakukan tindakan tidak sah seperti transfer dana atau ganti email. |
Mekanisme Kerusakan dan Eksploitasi Teknis
Ketika skrip berbahaya berhasil dieksekusi di dalam konteks browser korban, skrip tersebut memiliki hak akses yang sama dengan aplikasi web yang sah. Hal ini memberikan kebebasan bagi penyerang untuk membaca data yang tersimpan di localStorage, sessionStorage, atau membaca DOM secara keseluruhan.
1. Pembajakan Akun Melalui Session Hijacking
Sebagian besar aplikasi web menggunakan kuki (cookie) untuk mempertahankan status login pengguna. Jika kuki tidak diamankan dengan atribut HttpOnly dan Secure, skrip XSS dapat membaca nilai kuki tersebut melalui document.cookie dan mengirimkannya ke server eksternal milik penyerang. Penyerang kemudian dapat menirukan identitas korban secara penuh.
2. Penyisipan Malware Otomatis
Website yang terinfeksi XSS Stored (tersimpan di database) akan mengeksekusi skrip berbahaya setiap kali pengunjung lain membuka halaman tersebut. Ini mengubah website yang sah menjadi agen penyebar malware tanpa disadari oleh pemilik situs.
Mitigasi dan Cara Mencegah XSS
Pencegahan XSS harus dilakukan secara berlapis, baik pada sisi pengembangan perangkat lunak maupun konfigurasi peladen (server).
// Contoh sanitasi input sederhana di JavaScript sebelum render ke DOM
function escapeHTML(str) {
return str.replace(/[&<>'"']/g,
tag => ({
'&': '&',
'<': '<',
'>': '>',
"'": ''',
'"': '"'
}[tag] || tag)
);
}- Context-aware Output Encoding: Selalu lakukan enkoding pada data yang dimasukkan oleh pengguna sebelum menampilkannya kembali ke browser (HTML, JavaScript, CSS, atau URL encoding).
- Implementasi Content Security Policy (CSP): Gunakan header HTTP CSP untuk membatasi sumber eksekusi skrip dan mencegah pemuatan skrip inline yang tidak sah.
- Gunakan HttpOnly Cookies: Lindungi token sesi agar tidak dapat diakses melalui skrip JavaScript sisi klien.
- Validasi Input: Terapkan pendekatan whitelist untuk memvalidasi setiap data yang masuk dari pengguna.