Akademiya
TerminHücum

Saytlararası skript icrası (XSS)

Cross-Site Scripting

Veb tətbiqin istifadəçidən gələn məlumatı süzmədən səhifəyə qoyması səbəbindən digər istifadəçilərin brauzerində hücumçunun skriptinin işləməsi.

Axın

  1. 1Giriş sahəsi tapılır
  2. 2Skript əlavə edilir
  3. 3Qurbanda işləyir
Əlaqəli ailələr
—
MITRE ATT&CK
T1189 · Drive-by Compromise
Mənbə
4 mənbə
01

Ümumi baxış

OWASP-a görə XSS hücumçuya etibarlı sayta zərərli skript əlavə etməyə imkan verən inyeksiya zəifliyidir. Skript qurbanın brauzerində həmin saytın hüquqları ilə işləyir. OWASP

Təsiri sessiya kukisini oğurlamaqdan səhifənin məzmununu dəyişməyə qədər uzanır; skriptin əlçatan olduğu kukilər bu yolla hücumçuya göndərilə bilər. OWASP

02

Necə işləyir

  1. 1

    Giriş sahəsi tapılır

    Axtarış qutusu, şərh sahəsi və ya ünvan parametri. OWASP

  2. 2

    Skript əlavə edilir

    Süzülməyən məlumat səhifəyə skript kimi yerləşir. OWASP

  3. 3

    Qurbanda işləyir

    Səhifəni açan istifadəçinin brauzeri skripti işə salır. OWASP

03

Necə aşkar edilir

  • Tətbiq qeydlərində skript teqi və hadisə emalçısı olan sorğular. OWASP
04

Nə etməli

  • Çıxışı kontekstinə uyğun kodlayın; daxil edilən məlumatı yoxlayın. OWASP
  • Sessiya kukilərinə HttpOnly bayrağı və məzmun təhlükəsizliyi siyasəti tətbiq edin. OWASP
05

MITRE ATT&CK

06

Əlaqəli terminlər

07

Mənbələr

  1. 1Drive-by Compromise (T1189) · MITRE ATT&CK
  2. 2Steal Web Session Cookie (T1539) · MITRE ATT&CK
  3. 3Cross Site Scripting (XSS) · OWASP
  4. 4Cross Site Scripting Prevention Cheat Sheet · OWASP