اغیزې
یو برید کونکی چې په بریالیتوب سره د کراس سایټ سکریپټینګ (XSS) زیانمنونکي ګټه پورته کوي کولی شي د قرباني کارونکي په توګه مخ شي، هر هغه عمل ترسره کړي چې کارونکي یې د ترسره کولو اجازه لري، او د کارونکي معلوماتو ته لاسرسی ومومي [S1]. پدې کې د حسابونو د هک کولو لپاره د سیشن کوکیز غلا کول، د جعلي فورمو له لارې د ننوتلو اسناد نیول، یا د مجازی تخریب [S1][S2] ترسره کول شامل دي. که چیرې قرباني اداري امتیازات ولري، برید کوونکی کولی شي په غوښتنلیک او د هغې ډاټا [S1] بشپړ کنټرول ترلاسه کړي.
اصلي لامل
XSS هغه وخت پیښیږي کله چې یو غوښتنلیک د کارونکي کنټرول وړ ان پټ ترلاسه کړي او دا په ویب پا pageه کې پرته له مناسب بې طرفه کولو یا کوډ کولو [S2] شامل کړي. دا ان پټ ته اجازه ورکوي چې د قرباني براوزر لخوا د فعال مینځپانګې (جاواسکریپټ) په توګه تشریح شي، د ورته اصلي پالیسۍ مخه نیسي چې ویب پاڼې له یو بل څخه جلا کړي [S1][S2].
د زیان مننې ډولونه
- انعکاس شوي XSS: ناوړه سکریپټونه د قرباني براوزر ته د ویب غوښتنلیک څخه منعکس کیږي ، په ځانګړي توګه د [S1] د URL پیرامیټر له لارې.
- زیرمه شوی XSS: سکریپټ د تل لپاره په سرور کې زیرمه شوی (د مثال په توګه په ډیټابیس یا د تبصرې برخه کې) او وروسته کاروونکو ته وړاندې کیږي [S1][S2].
- DOM-based XSS: زیان په بشپړ ډول د پیرودونکي اړخ کوډ کې شتون لري چې د غیر باوري سرچینې څخه ډاټا په غیر خوندي ډول پروسس کوي، لکه
innerHTML[S1] ته لیکل.
کانکریټ اصلاحات
- په محصول کې ډیټا کوډ کړئ: د کارونکي کنټرول وړ ډیټا د وړاندې کولو دمخه په خوندي شکل کې بدل کړئ. د HTML بدن لپاره د HTML وجود کوډ کول، او د دې ځانګړي شرایطو [S1][S2] لپاره مناسب جاوا سکریپټ یا CSS کوډ کول وکاروئ.
- د رسیدلو په وخت کې فلټر ان پټ: د متوقع ان پټ فارمیټونو لپاره سخت اجازې لیست پلي کړئ او هر هغه څه رد کړئ چې د [S1][S2] سره موافق نه وي.
- د امنیت سرلیکونه وکاروئ: د
HttpOnlyبیرغ د سیشن کوکیز باندې تنظیم کړئ ترڅو د جاواسکریپټ [S2] له لارې لاسرسي مخه ونیسي. دContent-TypeاوX-Content-Type-Options: nosniffوکاروئ ترڅو ډاډ ترلاسه کړئ چې براوزر ځوابونه د اجرا وړ کوډ [S1] په توګه غلط تعبیر نه کوي. - د مینځپانګې امنیت پالیسي (CSP): یو قوي CSP ځای په ځای کړئ ترڅو هغه سرچینې محدودې کړي چې له هغې څخه سکریپټونه پورته کیدی شي او اجرا کیدی شي ، د دفاع ژوره پرت ZXCVFIXVIBETOKEN0ZXVXVIBETOKEN0ZXVXVIBETOKEN0ZXVIBXVICV1VCV1VXCV.
څنګه FixVibe د دې لپاره ازموینه کوي
FixVibe کولی شي XSS د څو پرتیو طریقې له لارې کشف کړي چې د تاسیس شوي سکین کولو میتودونو پراساس [S1]:
- غیر فعال سکین: د ورک شوي یا ضعیف امنیتي سرلیکونو پیژندل لکه
Content-Security-PolicyیاX-Content-Type-Optionsچې د XSS [S1] کمولو لپاره ډیزاین شوي. - فعال تحقیقات: د URL پیرامیټونو کې ځانګړي، غیر ناوړه الفانومریک تارونه داخلول او د ساحې فارمول ترڅو معلومه کړي چې ایا دوی د [S1] مناسب کوډ کولو پرته د غبرګون په بدن کې منعکس شوي.
- ریپو سکین: د "سینک" لپاره د پیرودونکي اړخ جاوا سکریپټ تحلیل کول چې غیر باوري ډیټا په خوندي ډول اداره کوي، لکه
innerHTML،document.write، یاsetTimeout، کوم چې په عام ډول دي. XSS [S1].