Tartalomjegyzék:
Meghatározás - Mit jelent az XSS lyuk?
Az XSS lyuk egy webes alkalmazás, amely dinamikus tartalmat nyújt a számítógépes biztonsági résekkel küzdő felhasználók számára. Ez az alkalmazás webhelyek közötti szkriptek (XSS), és lehetővé teszi a támadó számára, hogy a felhasználó bizalmas adatait kiaknázza anélkül, hogy átadná a hozzáférés-vezérlő mechanizmust, például az azonos származású házirendet. Ezt a hibát helyesebben XSS lyuknak nevezzük.
A Techopedia magyarázza az XSS Hole-t
A felhasználó például találhat egy hiperhivatkozást egy webes alkalmazásban, amely valamilyen rosszindulatú tartalomra mutat. A felhasználó rákattinthat a linkre, és egy másik oldalra vezet, amely tartalmaz néhány e-mailt, vagy e-mailben. Ez az oldal jelszavak formájában gyűjti a felhasználói információkat. Ezenkívül egy rosszindulatú kimeneti oldalt is generál, amely hamis választ jelöl, amelynek testreszabása valódi megjelenése a felhasználó számára. Vagy a felhasználó által bevitt adatok felhasználhatók visszaélésekre, vagy a felhasználó munkamenetét eltéríthetik a cookie-lopások. Az összegyűjtött adatok érzékenysége alapján a helyszíni szkriptek a pusztán sebezhetőségetől a súlyos biztonsági résig terjedhetnek. Az XSS sebezhetőség kihasználása után a támadó megkerülheti a szervezet hozzáférés-vezérlési irányelveit.
A webhelyek közötti szkriptek fogalma ugyanazon az eredeti politikán alapul. Ugyanaz az eredeti irányelv szerint a JavaScriptet használó webböngésző korlátozások nélkül hozzáférhet az ugyanazon webhelyhez tartozó különböző tulajdonságokhoz és módszerekhez. A rosszindulatú támadók kihasználhatják ugyanazon eredeti irányelv koncepcióját, ha rosszindulatú kódot injektálnak egy weboldalra a JavaScript használatával. Amikor a felhasználók megtekintették a weboldalakat, a támadók hasznos felhasználói információkat gyűjthetnek, például felhasználónevet vagy jelszót.
A Symantec által 2007-ben összegyűjtött statisztikák szerint a számítógépekkel végrehajtott összes biztonsági támadás 80% -át a webhelyek közötti szkriptek képezik. A webhelyek közötti szkriptek három típusa létezik:
- Nem perzisztens XSS: A nem-kitartó típusú helyszíni szkriptek a HTTP kérések során láthatók, amelyekben az ügyfél beágyaz adatokat egy HTTP kérésbe. Amikor a kiszolgáló az ügyfél által küldött adatokat használja az oldalak létrehozására, akkor az XSS lyukak aktívak lehetnek, ha a kérést nem megfelelően fertőtlenítették. A HTML oldalak mind tartalomból, mind prezentációból állnak. Ha a rosszindulatú felhasználó hozzáad egy olyan tartalmat, amely még nem lett érvényesítve, akkor a jelölőbefecskendezés befejeződik. A felhasználó a rosszindulatú kód által kért információk megadásával veszélyezteti biztonságát. A támadó félrevezetheti a felhasználót egy másik URL-címre, amely kifinomultabb vírust tartalmazhat, és fontos felhasználói információkat szerezhet.
- Perzisztens XSS: A támadó által beinjektált rosszindulatú tartalmat a kiszolgáló oldalára menti, és minden további ügyfél igényli a módosított tartalom elérését, ezáltal komoly biztonsági kockázatot jelent. Például néhány fórum lehetővé teszi a felhasználó számára, hogy HTML formátumú üzeneteket tegyen közzé. Ezért a támadó beágyazhat egy JavaScript-kódot, hogy egy rosszindulatú szövegmezőt jelenítsen meg, például olyan információk gyűjtésére, mint például egy jelszó. A támadó konfigurálhatja a JavaScript kódot a szövegmezőbe beírt jelszavak mentésére és továbbítására is.
- DOM alapú XSS: A dokumentumobjektummodell (DOM) egy faszerkezet, amely képviseli az XML-szabványoknak megfelelő dokumentumban szereplő összes címkét. A DOM-ot a JavaScript a HTML-címkék és a címkékben lévő tartalom elérésére és manipulálására használja. A támadó rosszindulatú JavaScript-kódot fecskendezhet be, amely megfelelő DOM-utasításokat tartalmaz a fontos felhasználói információk eléréséhez és módosításához. A támadó például a DOM használatával átirányíthatja a felhasználói információkat egy harmadik fél rosszindulatú webhelyére való nem megfelelő benyújtással.
