FixVibe
Covered by FixVibehigh

Leochaileachtaí maidir le Scriptiú Trassuíomh a Bhrath agus a Chosc (XSS)

Tarlaíonn Scriptiú Trassuíomh (XSS) nuair a chuimsíonn feidhmchlár sonraí neamhiontaofa ar leathanach gréasáin gan bailíochtú nó ionchódú cuí. Ligeann sé seo d'ionsaitheoirí scripteanna mailíseacha a fhorghníomhú i mbrabhsálaí an íospartaigh, as a dtiocfaidh fuadach seisiúin, gníomhartha neamhúdaraithe, agus nochtadh sonraí íogaire.

CWE-79

Tionchar

Is féidir le hionsaitheoir a bhaineann leas go rathúil as leochaileacht Scriptithe Trassuíomh (XSS) masquerade mar úsáideoir íospartaigh, aon ghníomh a dhéanamh a bhfuil an t-úsáideoir údaraithe a dhéanamh, agus rochtain a fháil ar aon cheann de shonraí an úsáideora [S1]. Áirítear leis seo fianáin seisiúin a ghoid chun cuntais a fhuadach, dintiúir logáil isteach a ghabháil trí fhoirmeacha bréige, nó aghlot fíorúil a dhéanamh [S1][S2]. Má tá pribhléidí riaracháin ag an íospartach, is féidir leis an ionsaitheoir smacht iomlán a fháil ar an bhfeidhmchlár agus ar a shonraí [S1].

Fréamhchúis

Tarlaíonn XSS nuair a fhaigheann feidhmchlár ionchur atá inrialaithe ag an úsáideoir agus áirítear leis ar leathanach gréasáin é gan neodrú nó ionchódú ceart [S2]. Ligeann sé seo gur féidir le brabhsálaí an íospartaigh an t-ionchur a léirmhíniú mar ábhar gníomhach (JavaScript), ag dul timpeall ar an mBeartas Comhthionscnaimh atá deartha chun láithreáin ghréasáin a leithlisiú óna chéile [S1][S2].

Cineálacha Leochaileachta

  • Léirithe XSS: Léirítear scripteanna mailíseacha d’fheidhmchlár gréasáin chuig brabhsálaí an íospartaigh, go hiondúil trí pharaiméadar URL [S1].
  • Stóráilte XSS: Stóráiltear an script go buan ar an bhfreastalaí (m.sh., i mbunachar sonraí nó i rannóg tuairimí) agus déantar é a sheirbheáil ar úsáideoirí níos déanaí [S1][S2].
  • XSS DOM-bhunaithe: Tá an leochaileacht ann go hiomlán i gcód taobh an chliaint a phróiseálann sonraí ó fhoinse neamhiontaofa ar bhealach neamhshábháilte, mar shampla scríobh chuig innerHTML [S1].

Ceartúcháin nithiúla

  • Ionchódaigh Sonraí ar Aschur: Tiontaigh sonraí atá inrialaithe ag an úsáideoir go foirm shábháilte sula ndéantar iad a rindreáil. Úsáid ionchódú aonáin HTML don chomhlacht HTML, agus ionchódú cuí JavaScript nó CSS ​​do na comhthéacsanna sonracha sin [S1][S2].
  • Scagaire Ionchur ar Teacht: Cuir liostaí diancheadaithe i bhfeidhm do na formáidí ionchuir a bhfuiltear ag súil leo agus diúltaigh d’aon rud nach gcomhlíonann [S1][S2].
  • Úsáid Ceanntásca Slándála: Socraigh an bhratach HttpOnly ar fhianáin seisiúin chun rochtain trí JavaScript a chosc [S2]. Bain úsáid as Content-Type agus X-Content-Type-Options: nosniff lena chinntiú nach ndéanann brabhsálaithe míthuiscintí ar fhreagraí mar chód inrite [S1].
  • Beartas Slándála Ábhar (CSP): Imscaradh CSP láidir chun na foinsí ónar féidir scripteanna a lódáil agus a fhorghníomhú a shrianadh, ag soláthar ciseal domhain cosanta [S1]ZXCVFIXVIBETOK.

Conas a thástálann FixVibe é

D’fhéadfadh FixVibe XSS a bhrath trí chur chuige ilshraitheach bunaithe ar mhodheolaíochtaí scanadh seanbhunaithe [S1]:

  • Scananna Éighníomhacha: Ceanntásca slándála in easnamh nó lag a aithint amhail Content-Security-Policy nó X-Content-Type-Options atá deartha chun XSS [S1] a mhaolú.
  • Tóraigh Ghníomhacha: Teaghráin alfa-uimhriúla uathúla neamh-mhailíseacha a instealladh isteach i bparaiméadar URL agus i réimsí foirme lena fháil amach an léirítear iad sa chorp freagartha gan ionchódú ceart [S1].
  • Scanta Repo: Anailís a dhéanamh ar JavaScript ar thaobh na gcliant le haghaidh “sincí” a láimhseálann sonraí neamhiontaofa go sábháilte, mar innerHTML, document.write, nó setTimeout, ar táscairí coitianta iad de chuid DKVXCVIXCV-bhunaithe [S1].