Etik Hackleme - Siteler Arası Komut Dosyası

Siteler arası komut dosyası çalıştırma (XSS), bir saldırganın başka bir kullanıcının tarayıcısında kötü amaçlı JavaScript yürütmesine olanak tanıyan bir kod yerleştirme saldırısıdır.

Saldırgan doğrudan kurbanını hedef almaz. Bunun yerine, web sitesinin kendisine kötü amaçlı JavaScript göndermesini sağlamak için kurbanın ziyaret ettiği bir web sitesindeki güvenlik açığından yararlanır. Kurbanın tarayıcısına göre, kötü amaçlı JavaScript, web sitesinin meşru bir parçası gibi görünüyor ve bu nedenle web sitesi, saldırgana kasıtsız bir suç ortağı gibi davranıyor. Bu saldırılar HTML, JavaScript, VBScript, ActiveX, Flash kullanılarak gerçekleştirilebilir ancak en çok kullanılan XSS kötü amaçlı JavaScript'tir.

Bu saldırılar ayrıca hesabın ele geçirilmesi, kullanıcı ayarlarının değiştirilmesi, çerez hırsızlığı / zehirlenmesi veya yanlış reklamlardan veri toplayabilir ve DoS saldırıları oluşturabilir.

Misal

Nasıl çalıştığını anlamak için bir örnek alalım. Tarafından aldığımız savunmasız bir web sayfamız varmetasploitablemakine. Şimdi kırmızı okla vurgulanan alanı XSS için test edeceğiz.

Her şeyden önce, basit bir uyarı betiği oluşturuyoruz

<script>  
   alert(‘I am Vulnerable’)  
</script>

Aşağıdaki çıktıyı üretecektir -

XSS Saldırısı Türleri

XSS saldırıları genellikle üç türe ayrılır -

Persistent XSS, Kötü amaçlı dizenin web sitesinin veritabanından geldiği yer.
Reflected XSS, Kötü amaçlı dizenin kurbanın talebinden kaynaklandığı yer.
DOM-based XSS, Güvenlik açığının sunucu tarafı kodundan ziyade istemci tarafı kodunda olduğu.

Genel olarak, siteler arası komut dosyası şu şekilde bulunur: vulnerability scanners böylece üzerine bir JavaScript yerleştirerek tüm manuel işi yapmak zorunda kalmazsınız.

<script>  
   alert('XSS') 
</script>

Burp Suite ve acunetix en iyi güvenlik açığı tarayıcıları olarak kabul edilir.

Hızlı ipucu

XSS saldırılarını önlemek için aşağıdaki noktaları aklınızda bulundurun -

Gizli formlar, başlıklar, çerezler, sorgu dizeleri gibi tüm form alanlarını kontrol edin ve doğrulayın.
Sıkı bir güvenlik politikası uygulayın. Giriş alanlarında karakter sınırlamasını ayarlayın.