تعریف:
اسکریپت بین سایتی (XSS) یک حمله تزریق کد در سمت کلاینت است. هدف مهاجم اجرای اسکریپت های مخرب در مرورگر وب قربانی با گنجاندن کدهای مخرب در یک صفحه وب یا وب اپلیکیشن کاملا قانونی است. حمله واقعی زمانی رخ می دهد که قربانی از صفحه وب یا برنامه وب که کد مخرب را اجرا می کند بازدید کند. صفحه وب یا برنامه وب به وسیله ای برای تحویل اسکریپت مخرب به مرورگر کاربر تبدیل می شود. وسایل نقلیه آسیب‌پذیری که معمولاً برای حملات Cross-siteScripting استفاده می‌شوند، فروم‌ها، تابلوهای مرورگر پیام و صفحات وب هستند که اجازه نظرات را می‌دهند.
اسکریپت بین سایتی چگونه کار می کند:
+ برای اجرای کدهای مخرب جاوا اسکریپت در مرورگر قربانی، مهاجم ابتدا باید راهی برای تزریق کد مخرب (بارگذاری بار) به صفحه وب که قربانی بازدید می کند بیابد.
+ پس از آن، قربانی باید از صفحه وب با کد مخرب بازدید کند. اگر حمله متوجه قربانیان خاصی باشد، مهاجم می تواند از مهندسی اجتماعی و/یا فیشینگ برای ارسال یک URL مخرب به قربانی استفاده کند.
انواع اسکریپت بین سایتی XSS منعکس شده:
یک: Reflected XSS جایی که اسکریپت مخرب از درخواست فعلی HTTP می آید.
دو: Stored XSS جایی که اسکریپت مخرب از پایگاه داده وب سایت می آید.
سه: DOM-based XS جایی که آسیب پذیری در کد سمت کلاینت به جای کد سمت سرور وجود دارد.
ابزارهای تست اسکن XSS:
1 ~ Find XSS
2 ~ XSS Mister Scanner
3 ~ Quttera
4 ~ XSS Scanner
5 ~ Acunetix
6 ~ W3af (Plugin)
7 ~ Qualys
8 ~ Tenable
9 ~ Swascan
چگونه می توان از حملات XSS جلوگیری کرد:
جلوگیری از اسکریپت croSs-site در برخی موارد بی اهمیت است، اما بسته به پیچیدگی برنامه و روش هایی که داده های قابل کنترل توسط کاربر را مدیریت می کند، می تواند بسیار سخت تر باشد.
+ فیلتر ورودی هنگام ورود استفاده از پاسخ مناسب کدگذاری داده ها در خروجی
- استفاده از فرار/رمزگذاری
- آموزش و حفظ آگاهی
- تنظیم پرچم HttpOnly
- رعایت اصول HTML
- استفاده از سرصفحه های خط مشی امنیتی محتوا
آیهان محمدی : @Ayhan_Mohammadi
