Cross-Site Scripting: Unsa Kini ug Unsaon Pagpabiling Luwas

Scripts sa Cross-Site (XSS) usa sa labing delikado nga mga kahuyangan sa seguridad sa web application, nga nakaapekto sa kapin sa 40% sa mga aplikasyon sa web sa tibuok kalibutanUnsa ang Cross-Site Scripting, ug nganong nagpadayon kini nga naghatag ug seryosong risgo? Ang XSS hinungdan sa pipila sa pinakadakong mga paglapas sa datos, lakip na ang sa British Airways ug eBay, nga nagladlad sa minilyon nga mga tiggamit sa pagpangawat sa datos, pag-hijack sa account, ug pagpanglimbong. Aron ipasiugda, ang pagsabot kung unsa ang Cross-Site Scripting, ang mga klase sa pag-atake sa Cross Site Scripting, ug ang labing maayong mga paagi aron mapugngan kini hinungdanon aron mapadayon nga luwas ang mga modernong aplikasyon sa web.

Unsa ang Cross-Site Scripting (XSS)?

Ang Cross-Site Scripting (XSS) usa ka kahuyangan nga nagtugot sa mga tig-atake sa pag-inject og makadaot nga mga script ngadto sa kasaligang mga web page. Kung ang mga tiggamit makig-uban niining mga panid, ang mga script modagan sa ilang mga browser. Tungod niini nga hinungdan, ang XSS mahimong mosangpot sa dagkong mga risgo, sama sa:

• Pangawat sa Data: Ang mga tig-atake mangawat og pribadong impormasyon sama sa session cookies ug login mga kredensyal
• Pag-hijack sa Sesyon: Ang mga tig-atake makakuha og access sa mga aktibong sesyon sa tiggamit ug magpakaaron-ingnon nga sila ang tag-iya.
• Mga Aksyon nga Wala GitugotanAng mga malisyosong script mohimo og mga aksyon nga wala ang kahibalo sa biktima.

Ilabi na, ang mga kahuyangan sa XSS kanunay nga mahitabo tungod sa dili maayo nga pag-validate o pag-sanitize sa mga input sa tiggamit. Ang pagkahibalo kung unsa ang Cross-Site Scripting makatabang sa mga organisasyon nga mapugngan kini nga mga pag-atake ug mapanalipdan ang ilang mga tiggamit.

Mga Matang sa Pag-atake sa Cross Site Scripting ug mga Ehemplo sa Tinuod nga Kalibutan

Ang mga eksperto sa seguridad nagklasipikar sa mga pag-atake sa Cross Site Scripting ngadto sa tulo ka pangunang klase: Stored, Reflected, ug DOM-Based XSS. Ang matag klase nagtumong sa lain-laing mga kahuyang sa mga web application, nga mosangpot sa talagsaon nga mga sangputanan. Aron mas masabtan, ania kung giunsa paglihok ang matag klase ug mga pananglitan sa kadaot nga mahimo niini.

Gitipigan nga Cross-Site Scripting (XSS)

Ang natipigan nga XSS, nailhan usab nga persistent XSS, mahitabo kung ang makadaot nga mga script permanente nga natipigan sa usa ka server. Pananglitan, kini nga mga script mahimong tipigan sa usa ka database o profile sa tiggamit. Kung adunay mo-access sa nakompromiso nga kapanguhaan, ang script awtomatikong modagan.

Kasagaran gamiton sa mga tig-atake ang Stored XSS aron i-target ang mga plataporma nga daghan og tawo. Tungod kay ang malisyosong payload magpabilin sa server, mahimo kining makaapekto sa liboan ka mga tiggamit sa dili pa kini mamatikdan.

Ehemplo sa Tinuod nga Kalibutan: eBay (2014)

Niadtong 2014, ang mga tig-atake nag-inject og malisyosong JavaScript ngadto sa Mga listahan sa produkto sa eBay. Nahitabo kini tungod kay ang eBay wala mag-sanitize sa mga input sa tiggamit sa husto nga paagi. Sa matag higayon nga mobisita ang mga tiggamit sa mga apektadong listahan, ang ilang mga browser wala tuyoa nga nagpadagan sa malisyosong script.

Mga sangputanan:

• Ang mga biktima gibalhin ngadto sa mga phishing site, diin gikawat sa mga tig-atake login mga kredensyal ug pribadong datos.
• Ang eBay nakaagom ug dakong kadaot sa reputasyon tungod sa kakulang sa igong seguridad.
• Tungod niini, kini nga kaso nagpakita sa kritikal nga panginahanglan alang sa lig-on nga pag-validate sa input ug real-time nga pagmonitor.

Gisalamin nga Cross-Site Scripting (XSS)

Ang reflected XSS mahitabo kon ang makadaot nga mga script gi-embed sa usa ka URL o form input ug makita sa tubag sa server. Kini nga matang sa Cross Site Scripting attack kasagarang ipadala pinaagi sa phishing links ug mo-execute dayon sa pag-klik sa biktima sa link.

Sa samang higayon, ang Reflected XSS makaapekto sa indibidwal nga mga biktima apan mahimo gihapon nga mosangpot sa seryosong mga sangputanan.

Ehemplo sa Tinuod nga Kalibutan: British Airways (2018)

Ang British Airways nakasinati og Gipakita nga kahuyangan sa XSS niadtong 2018. Ang mga tig-atake naghimo og mga phishing link nga adunay mga naka-embed nga script, nga naglimbong sa mga tiggamit sa pag-klik niini.

Mga sangputanan:

• Gikawat sa mga hacker ang sensitibo nga impormasyon sa kustomer, lakip ang mga ngalan, adres, ug mga detalye sa payment card.
• Kapin sa 400,000 ka mga kustomer ang naapektuhan, nga misangpot sa £20 milyon nga multa sa GDPR para sa British Airways.
• Sa kinatibuk-an, ang paglapas nagpasiugda sa pinansyal ug legal nga mga risgo nga nalangkit sa mga kahuyangan sa Cross-Site Scripting.

DOM-Based Cross-Site Scripting (XSS)

Ang DOM-Based XSS mahitabo kung ang mga tig-atake momanipula sa browser's Modelo sa Butang sa Dokumento (DOM) imbes nga i-target ang mga kahuyangan sa server-side. Kini nga pag-atake hingpit nga molaktaw sa server-side validation ug kanunay nga mopahimulos sa dili luwas nga mga pamaagi sa JavaScript sama sa innerHTML or document.write().

Aron ipakita, ania ang usa ka ehemplo sa DOM-Based XSS nga gigamit.

Ehemplo sa Tinuod nga Kalibutan: GitHub (2020)

Niadtong 2020, gipahimuslan sa mga tig-atake ang usa ka Kahuyangan sa XSS nga Gibase sa DOM sa gamit sa pagpangita sa GitHub. Nagbutang silag mga malisyosong script sa mga input sa pangutana sa pagpangita, nga nakalikay sa mga proteksyon sa server.

Mga sangputanan:

• Gikawat sa mga tig-atake ang mga session cookies ug mga authentication token, nga nagtugot sa wala gitugutan nga pag-access sa mga repository.
• Dali nga giayo sa GitHub ang isyu, apan ang kaso nagpakita sa mga risgo nga gipahinabo sa mga kahuyangan sa kliyente.