የጣቢያ አቋራጭ ስክሪፕት፡- ምን እንደሆነ እና እንዴት ደህንነቱ የተጠበቀ መሆን እንደሚቻል

አቋራጭ-ጣቢያ ስክሪፕት (XSS) በድር መተግበሪያ ደህንነት ውስጥ ካሉት በጣም አደገኛ ተጋላጭነቶች አንዱ ሲሆን ይህም በበላይ ላይ ተጽዕኖ ያሳድራል በዓለም አቀፍ ደረጃ 40% የሚሆኑ የድር መተግበሪያዎች. ክሮስ-ሳይት ስክሪፕት ምንድን ነው፣ እና ለምን እንዲህ ያለ ከባድ አደጋ ማስከተሉን ቀጥሏል? XSS በብሪቲሽ ኤርዌይስ እና ኢቤይ ላይ የተፈጸሙትን ጨምሮ ትላልቅ የውሂብ ጥሰቶችን አስከትሏል፣ ይህም በሚሊዮን የሚቆጠሩ ተጠቃሚዎችን ለውሂብ ስርቆት፣ ለአካውንት ጠለፋ እና ለማጭበርበር አጋልጧል። ለማጉላት፣ ክሮስ-ሳይት ስክሪፕት ምን እንደሆነ፣ የክሮስ-ሳይት ስክሪፕት ጥቃቶች ዓይነቶችን እና እነሱን ለመከላከል ምርጥ መንገዶችን መረዳት ዘመናዊ የድር መተግበሪያዎችን ደህንነታቸውን ለመጠበቅ አስፈላጊ ነው።

የጣቢያ ክሮስ ስክሪፕት (XSS) ምንድን ነው?

ክሮስ-ሳይት ስክሪፕት (XSS) አጥቂዎች ጎጂ ስክሪፕቶችን ወደ ታማኝ የድር ገጾች እንዲገቡ የሚያስችል ተጋላጭነት ነው። ተጠቃሚዎች ከእነዚህ ገጾች ጋር ​​ሲገናኙ ስክሪፕቶቹ በአሳሾቻቸው ውስጥ ይሰራሉ። በዚህ ምክንያት፣ XSS እንደሚከተሉት ላሉ ዋና ዋና አደጋዎች ሊዳርግ ይችላል፡

• የውሂብ ስርቆት፦ አጥቂዎች እንደ የክፍለ ጊዜ ኩኪዎች እና login ምስክርነቶች.
• ክፍለ ጊዜ ጠለፋ፦ አጥቂዎች ወደ ንቁ የተጠቃሚ ክፍለ ጊዜዎች መዳረሻ ያገኛሉ እና ያስመስሏቸዋል።
• ያልተፈቀዱ እርምጃዎች፦ ተንኮል አዘል ስክሪፕቶች ተጎጂው ሳያውቅ ድርጊቶችን ይፈጽማሉ።

በተለይም የXSS ተጋላጭነቶች ብዙውን ጊዜ የሚከሰቱት የተጠቃሚ ግብዓቶችን ደካማ ማረጋገጫ ወይም ማጽዳት ምክንያት ነው። Cross-Site Scripting ምን እንደሆነ ማወቅ ድርጅቶች እነዚህን ጥቃቶች ለመከላከል እና ተጠቃሚዎቻቸውን ለመጠበቅ ይረዳል።

የመስቀል ጣቢያ ስክሪፕት ጥቃቶች እና የእውነተኛ ዓለም ምሳሌዎች ዓይነቶች

የደህንነት ባለሙያዎች የክሮስ ሳይት ስክሪፕት ጥቃቶችን በሦስት ዋና ዋና ዓይነቶች ይመድባሉ፤ ​​እነሱም የተከማቹ፣ የተንጸባረቁ እና በDOM ላይ የተመሰረቱ XSS ናቸው። እያንዳንዱ አይነት በድር መተግበሪያዎች ውስጥ የተለያዩ ድክመቶችን ኢላማ ያደርጋል፣ ይህም ወደ ልዩ ውጤቶች ይመራል። የበለጠ ለማብራራት፣ እያንዳንዱ አይነት እንዴት እንደሚሰራ እና ሊያስከትሉ የሚችሉትን ጉዳት ምሳሌዎች እነሆ።

የተከማቸ የጣቢያ አቋራጭ ስክሪፕት (XSS)

የተከማቸ XSS፣ እንዲሁም የማያቋርጥ XSS በመባልም የሚታወቀው፣ ጎጂ ስክሪፕቶች በአገልጋይ ላይ በቋሚነት ሲቀመጡ ይከሰታል። ለምሳሌ፣ እነዚህ ስክሪፕቶች በውሂብ ጎታ ወይም በተጠቃሚ መገለጫ ውስጥ ሊቀመጡ ይችላሉ። አንድ ሰው የተጎዳውን ሀብት ሲደርስ፣ ስክሪፕቱ በራስ-ሰር ይሰራል።

አጥቂዎች በተለምዶ ከፍተኛ የትራፊክ መድረኮችን ኢላማ ለማድረግ የተከማቸ XSS ይጠቀማሉ። ተንኮል አዘል ክፍያው በአገልጋዩ ላይ ስለሚቆይ፣ ከመታወቁ በፊት በሺዎች የሚቆጠሩ ተጠቃሚዎችን ሊጎዳ ይችላል።

የእውነተኛ ዓለም ምሳሌ፡ eBay (2014)

በ2014፣ አጥቂዎች ተንኮል አዘል ጃቫስክሪፕትን ወደ ውስጥ አስገብተዋል የኢቤይ ምርቶች ዝርዝር። ይህ የሆነው eBay የተጠቃሚ ግብዓቶችን በትክክል ስላላጸዳ ነው። ተጠቃሚዎች የተጎዱትን ዝርዝሮች በጎበኙ ቁጥር አሳሾቻቸው ሳያውቁት ተንኮል አዘል ስክሪፕቱን ያስፈጽሙ ነበር።

ውጤቶች

• ተጎጂዎቹ አጥቂዎች የሚሰርቁባቸው ወደ ፊሺንግ ድረ-ገጾች ተዛውረዋል login የምስክር ወረቀቶች እና የግል መረጃዎች።
• ኢቤይ በቂ የደህንነት እጥረት በመኖሩ ምክንያት ከፍተኛ የዝና ጉዳት ደርሶበታል።
• በዚህም ምክንያት፣ ይህ ጉዳይ ጠንካራ የግብዓት ማረጋገጫ እና የእውነተኛ ጊዜ ክትትል ወሳኝ አስፈላጊነትን አሳይቷል።

የተንጸባረቀ የጣቢያ ክሮስ ስክሪፕት (XSS)

የተንጸባረቀ XSS የሚከሰተው ጎጂ ስክሪፕቶች በዩአርኤል ወይም በቅጽ ግብዓት ውስጥ ሲካተቱ እና በአገልጋዩ ምላሽ ውስጥ ሲንፀባረቁ ነው። ይህ ዓይነቱ የጣቢያ አቋራጭ ስክሪፕት ጥቃት በተለምዶ በፊሺንግ አገናኞች በኩል የሚደርስ ሲሆን ተጎጂው አገናኙን ጠቅ እንዳደረገ ወዲያውኑ ይፈጸማል።

በተመሳሳይ ጊዜ፣ የተንጸባረቀ XSS በግለሰብ ተጎጂዎች ላይ ተጽዕኖ ያሳድራል ነገር ግን አሁንም ወደ ከባድ መዘዞች ሊያመራ ይችላል።

እውነተኛ የዓለም ምሳሌ፡ የብሪቲሽ አየር መንገድ (2018)

የብሪቲሽ አየር መንገድ አጋጥሞታል የተንጸባረቀ የXSS ተጋላጭነት በ2018። አጥቂዎች የተካተቱ ስክሪፕቶችን የያዙ የፊሺንግ አገናኞችን ፈጥረዋል፣ ይህም ተጠቃሚዎችን ጠቅ እንዲያደርጉ ያታልላል።

ውጤቶች

• ጠላፊዎች ስሱ የደንበኛ መረጃዎችን፣ ስሞችን፣ አድራሻዎችን እና የክፍያ ካርድ ዝርዝሮችን ጨምሮ ሰረቁ።
• ከ400,000 በላይ ደንበኞች ተጎድተዋል፣ ይህም ለብሪቲሽ ኤርዌይስ የ20 ሚሊዮን ፓውንድ የጂዲፒአር ቅጣት አስከትሏል።
• በአጠቃላይ፣ ጥሰቱ ከCross-Site Scripting ተጋላጭነቶች ጋር የተያያዙ የገንዘብ እና የህግ አደጋዎችን አጉልቶ ያሳያል።

በDOM ላይ የተመሠረተ የጣቢያ ክሮስ ስክሪፕት (XSS)

በDOM ላይ የተመሠረተ XSS የሚከሰተው አጥቂዎች የአሳሹን ሲቆጣጠሩ ነው የሰነድ ነገር ሞዴል (DOM) የአገልጋይ-ጎን ተጋላጭነቶችን ከማነጣጠር ይልቅ። ይህ ጥቃት የአገልጋይ-ጎን ማረጋገጫን ሙሉ በሙሉ ያልፋል እና ብዙውን ጊዜ እንደ አደገኛ የጃቫስክሪፕት ዘዴዎችን ይጠቀማል። innerHTML or document.write().

ለማሳያ ያህል፣ በDOM-Based XSS በተግባር ላይ የዋለ ምሳሌ ይኸውና።

የእውነተኛው ዓለም ምሳሌ፡ GitHub (2020)

በ2020፣ አጥቂዎች አንድን መሳሪያ ተጠቅመውበታል በDOM ላይ የተመሠረተ የXSS ተጋላጭነት በጂትሁብ የፍለጋ ተግባር ውስጥ። የአገልጋይ ጥበቃዎችን በማለፍ ተንኮል አዘል ስክሪፕቶችን ወደ የፍለጋ መጠይቅ ግብዓቶች ውስጥ አስገብተዋል።

ውጤቶች

• አጥቂዎች የክፍለ ጊዜ ኩኪዎችን እና የማረጋገጫ ቶከኖችን ሰርቀዋል፣ ይህም ያልተፈቀደላቸው የውሂብ ማከማቻዎች መዳረሻን አስችሏል።
• ጂትሁብ ችግሩን ወዲያውኑ ፈትቶታል፣ ነገር ግን ጉዳዩ በደንበኛ በኩል ያሉ ተጋላጭነቶች ሊያስከትሉ የሚችሉትን አደጋዎች አሳይቷል።