XSS được viết tắt từ những từ gì?

Tấn công XSS (Cross-Site Scripting) cho phép kẻ tấn công chèn mã độc hại (thường là JavaScript) vào các trang web mà người dùng khác xem. Khi người dùng truy cập trang web đã bị nhiễm mã độc, mã này sẽ thực thi trên trình duyệt của họ và có thể gây ra nhiều tác động tiêu cực, bao gồm:

* Đánh cắp phiên của người dùng: Mã XSS có thể truy cập cookies phiên của người dùng, cho phép kẻ tấn công mạo danh và chiếm đoạt tài khoản của họ.
* Đánh cắp dữ liệu nhạy cảm: Mã XSS có thể truy cập thông tin cá nhân, thông tin tài chính, và các dữ liệu nhạy cảm khác mà người dùng nhập vào trang web.
* Thay đổi giao diện trang web: Mã XSS có thể thay đổi giao diện trang web để lừa người dùng cung cấp thông tin hoặc thực hiện các hành động không mong muốn.

Vì tất cả các tác động trên đều có thể xảy ra do tấn công XSS, đáp án đúng là "tất cả đều đúng".

Persistent XSS, hay còn gọi là Stored XSS, là một loại tấn công XSS mà mã độc được lưu trữ trên máy chủ mục tiêu (ví dụ: trong cơ sở dữ liệu, trên hệ thống tập tin). Khi người dùng khác truy cập vào trang web, mã độc này sẽ được thực thi. Do đó, Persistent XSS tấn công cả website (nơi mã độc được hiển thị) và cơ sở dữ liệu (nơi mã độc được lưu trữ).

Hình thức tấn công Non-Persistent XSS (Reflected XSS) hoạt động bằng cách kẻ tấn công chèn mã độc vào một đường link. Khi người dùng truy cập vào đường link này, mã độc sẽ được thực thi trên trình duyệt của người dùng, từ đó kẻ tấn công có thể đánh cắp thông tin hoặc thực hiện các hành động trái phép khác. Do đó, đáp án đúng là B.

Kỹ thuật tấn công DOM-based XSS (Cross-Site Scripting) là một loại tấn công XSS, trong đó mã độc được thực thi do việc sửa đổi Document Object Model (DOM) trong trình duyệt của người dùng. Mã độc không được gửi đến máy chủ web để xử lý (như trong Stored XSS hoặc Reflected XSS), mà nó thực thi trực tiếp trong trình duyệt thông qua việc khai thác các lỗ hổng trong cách JavaScript tương tác với DOM. Do đó, đáp án A là chính xác nhất.

CSRF (Cross-Site Request Forgery) là một loại tấn công mà kẻ tấn công lợi dụng việc người dùng đã đăng nhập vào một trang web đáng tin cậy để thực hiện các hành động không mong muốn trên trang web đó mà người dùng không hề hay biết hoặc cho phép. Ví dụ, kẻ tấn công có thể khiến người dùng thay đổi mật khẩu, thực hiện giao dịch ngân hàng, hoặc đăng bài viết trên mạng xã hội của họ mà không có sự đồng ý của người dùng.

Phương án A mô tả chính xác bản chất của tấn công CSRF. Các phương án khác không liên quan trực tiếp đến định nghĩa và cơ chế hoạt động của CSRF.