Sgrìobhadh tar-làraich (XSS) 'S e seo aon de na so-leòntachdan as cunnartaiche ann an tèarainteachd aplacaidean lìn, a' toirt buaidh air còrr is 40% de aplacaidean lìn air feadh an t-saoghailDè a th’ ann an Sgriobtadh Thar-Làraichean, agus carson a tha e fhathast a’ cur cho cunnartach ris? Tha XSS air cuid de na briseadh dàta as motha adhbhrachadh, nam measg an fheadhainn aig British Airways agus eBay, a’ nochdadh milleanan de luchd-cleachdaidh do ghoid dàta, fuadach chunntasan, agus foill. Gus cuideam a chuir air, tha e deatamach tuigse fhaighinn air dè a th’ ann an Sgriobtadh Thar-Làraichean, na seòrsaichean ionnsaighean Sgriobtadh Thar-Làraichean, agus na dòighean as fheàrr air an casg gus aplacaidean lìn an latha an-diugh a chumail tèarainte.
Dè a th’ ann an Sgriobtadh Thar-Làraich (XSS)?
Tha Sgriobtadh Thar-Làraichean (XSS) na so-leòntachd a leigeas le luchd-ionnsaigh sgriobtaichean cronail a chuir a-steach do dhuilleagan-lìn earbsach. Nuair a bhios luchd-cleachdaidh ag eadar-obrachadh leis na duilleagan sin, bidh na sgriobtaichean a’ ruith anns na brobhsairean aca. Air an adhbhar seo, faodaidh XSS cunnartan mòra adhbhrachadh, leithid:
- Goid DàtaBidh luchd-ionnsaigh a’ goid fiosrachadh prìobhaideach leithid briosgaidean seisean agus login teisteanasan.
- Hijacking seiseanBidh luchd-ionnsaigh a’ faighinn cothrom air seiseanan cleachdaiche gnìomhach agus gan dèanamh fhèin mar dhaoine eile.
- Gnìomhan gun ùghdarrasBidh sgriobtaichean droch-rùnach a’ cur an gnìomh gnìomhan gun fhios don neach-fulang.
Gu sònraichte, bidh so-leòntachd XSS gu tric a’ tachairt air sgàth droch dhearbhadh no glanadh cuir-a-steach luchd-cleachdaidh. Bidh fios a bhith agad dè a th’ ann an Sgriobtadh Thar-làraich a’ cuideachadh bhuidhnean gus casg a chuir air na h-ionnsaighean sin agus an luchd-cleachdaidh aca a dhìon.
Seòrsachan Ionnsaighean Sgriobtaidh Thar-Làraich agus Eisimpleirean san t-Saoghal Fìor
Bidh eòlaichean tèarainteachd a’ roinn ionnsaighean Sgriobtaidh Thar-Làraich ann an trì prìomh sheòrsaichean: XSS Stòraichte, Ath-fhaileasach, agus DOM-stèidhichte. Bidh gach seòrsa ag amas air laigsean eadar-dhealaichte ann an aplacaidean lìn, a’ leantainn gu builean sònraichte. Gus mìneachadh nas mionaidiche, seo mar a tha gach seòrsa ag obair agus eisimpleirean den mhilleadh as urrainn dhaibh adhbhrachadh.
Sgriobtadh Thar-Làraich Stòraichte (XSS)
Bidh XSS stòraichte, ris an canar cuideachd XSS maireannach, a’ tachairt nuair a thèid sgriobtaichean cronail a shàbhaladh gu maireannach air frithealaiche. Mar eisimpleir, faodar na sgriobtaichean seo a stòradh ann an stòr-dàta no pròifil cleachdaiche. Nuair a gheibh cuideigin cothrom air an goireas a tha air a mhilleadh, bidh an sgriobt a’ ruith gu fèin-ghluasadach.
Bidh luchd-ionnsaigh gu tric a’ cleachdadh Stored XSS gus targaid a dhèanamh air àrd-ùrlaran le trafaic àrd. Leis gu bheil an luchd droch-rùnach fhathast air an fhrithealaiche, faodaidh e buaidh a thoirt air mìltean de luchd-cleachdaidh mus tèid a lorg.
Eisimpleir den t-Saoghal Fìor: eBay (2014)
Ann an 2014, chuir luchd-ionnsaigh JavaScript droch-rùnach a-steach do Liostaichean thoraidhean eBay. Thachair seo leis nach do rinn eBay glanadh ceart air cuir-a-steach luchd-cleachdaidh. Nuair a thadhlas luchd-cleachdaidh air na liostaichean air an tug seo buaidh, bhiodh am brobhsairean gun fhios dhaibh a’ ruith an sgriobt droch-rùnach.
Toraidhean:
- Chaidh luchd-fulaing ath-stiùireadh gu làraichean fiosgaich, far an do ghoid luchd-ionnsaigh login teisteanasan agus dàta prìobhaideach.
- Dh’fhuiling eBay milleadh mòr air cliù air sgàth dìth tèarainteachd iomchaidh.
- Mar thoradh air an sin, sheall a’ chùis seo an fheum èiginneach airson dearbhadh làidir air cuir-a-steach agus sgrùdadh fìor-ùine.
Sgriobtadh Thar-Làraich Ath-fhaileasach (XSS)
Bidh XSS meòrachail a’ tachairt nuair a thèid sgriobtaichean cronail a leabachadh ann an URL no cuir a-steach foirm agus a nochdadh ann am freagairt an fhrithealaiche. Mar as trice bidh an seòrsa ionnsaigh Sgriobtaidh Thar-làraich seo air a lìbhrigeadh tro cheanglaichean fiosgaich agus ga chur an gnìomh cho luath ‘s a bhriogas an neach-fulang air a’ cheangal.
Aig an aon àm, bidh buaidh aig Reflected XSS air luchd-fulaing fa leth ach faodaidh e fhathast droch bhuaidhean adhbhrachadh.
Eisimpleir bhon t-Saoghal Fìor: British Airways (2018)
Fhuair British Airways eòlas air So-leòntachd XSS air a nochdadh ann an 2018. Chruthaich luchd-ionnsaigh ceanglaichean fiosgaich anns an robh sgriobtaichean leabaithe, a’ mealladh luchd-cleachdaidh gus briogadh orra.
Toraidhean:
- Ghoid hackers fiosrachadh mothachail luchd-ceannach, a’ gabhail a-steach ainmean, seòlaidhean agus mion-fhiosrachadh cairt pàighidh.
- Chaidh buaidh a thoirt air còrr is 400,000 neach-ceannach, agus mar thoradh air an sin chaidh càin GDPR de £20 millean a thoirt do British Airways.
- Gu h-iomlan, chuir am briseadh tèarainteachd cuideam air na cunnartan ionmhais is laghail co-cheangailte ri so-leòntachd Sgriobtadh Thar-Làraichean.
Sgriobtadh Thar-Làrach Stèidhichte air DOM (XSS)
Bidh XSS stèidhichte air DOM a’ tachairt nuair a bhios luchd-ionnsaigh a’ làimhseachadh feartan a’ bhrabhsair. Modail Rud Sgrìobhainn (DOM) seach a bhith ag amas air so-leòntachdan taobh an fhrithealaiche. Bidh an ionnsaigh seo a’ seachnadh dearbhadh taobh an fhrithealaiche gu tur agus gu tric bidh i a’ gabhail brath air dòighean JavaScript mì-shàbhailte leithid innerHTML or document.write().
Gus mìneachadh, seo eisimpleir de XSS stèidhichte air DOM ann an gnìomh.
Eisimpleir den t-Saoghal Fhìor: GitHub (2020)
Ann an 2020, rinn luchd-ionnsaigh brath air So-leòntachd XSS stèidhichte air DOM ann am feart rannsachaidh GitHub. Chuir iad sgriobtaichean droch-rùnach a-steach do chuir-a-steach iarrtasan rannsachaidh, a’ seachnadh dìonan an fhrithealaiche.
Toraidhean:
- Ghoid luchd-ionnsaigh briosgaidean seisein agus comharran dearbhaidh, a’ leigeil le ruigsinneachd gun chead gu stòran-dàta.
- Rinn GitHub càradh air a’ chùis sa bhad, ach sheall a’ chùis na cunnartan a bha an lùib so-leòntachd taobh an neach-dèiligidh.
A bheil thu airson barrachd ionnsachadh mu bhith a’ fuireach air thoiseach air bagairtean ann an àm fìor?
Luchdaich sìos am pàipear geal againn, ‘Rabhadh Tràth: Lorgaireachd is Prìomhachasachadh Bhagairtean ann am Fìor-Ùine,’ agus faigh a-mach mar a dhìonas tu slabhraidh solair do bhathar-bhog.
Mar a chuireas tu casg air sgriobtadh thar-làraich (XSS)
Tha feum air dìon ro-ghnìomhach agus ioma-fhilleadh gus stad a chur air Sgriobtadh Thar-Làraichean (XSS). Tha seo a’ ciallachadh dèiligeadh ri cunnartan tràth san leasachadh agus a’ leantainn air adhart a’ dìon aplacaidean aon uair ‘s gu bheil iad beò. Tha fuasglaidhean Xygeni air an dealbhadh gus an dà cheann a chòmhdach, a’ dèanamh cinnteach à tèarainteachd coileanta.
A’ glacadh dhuilgheadasan tràth le Xygeni SAST
Deuchainn Tèarainteachd Iarrtasan Statach Xygeni (SAST) Tha an inneal seo na inneal a tha ag atharrachadh a’ gheama do luchd-leasachaidh. Bidh e a’ sganadh do chòd fhad ’s a tha thu ga sgrìobhadh, a’ comharrachadh so-leòntachd Sgriobtadh Thar-Làrach mus bi cothrom aca a thoirt a-steach do riochdachadh. Ann an ùine ghoirid, cuidichidh e thu le bhith a’ càradh dhuilgheadasan tràth, nuair a tha e nas luaithe agus nas saoire sin a dhèanamh.
Seo na rudan a tha a’ dèanamh Xygeni SAST Seas a-mach:
- Rabhadh Fìor-ùineFaigh fios air ais sa bhad mu laigsean fhad ’s a bhios tu a’ còdadh, gus an urrainn dhut an càradh sa bhad.
- Dearbh-aithne mionaideachTha Xygeni a’ sealltainn dhut dìreach càite a bheil an duilgheadas, sìos chun loidhne còd.
- Amalachadh gun fhiostaAg obair gun oidhirp leis na h-innealan as fheàrr leat, leithid IntelliJ IDEA, Visual Studio Code, agus CI/CD pipelines.
- Dearbhadh adhartachA’ comharrachadh chùisean duilich leithid làimhseachadh cuir-a-steach mì-shàbhailte agus atharrachaidhean DOM mì-thèarainte.
Gu h-iomlan, Xygeni's SAST a’ lughdachadh cunnart ionnsaighean XSS le bhith a’ glacadh so-leòntachd aig an stòr, a’ dèanamh do chòd nas sàbhailte bhon toiseach.
A’ neartachadh dìonan le sgrùdadh ruith-ùine
Tha sgrùdadh ùine-ruith riatanach airson casg a chur air bagairtean a tha a’ sìor atharrachadh. Bidh innealan Xygeni a’ toirt seachad dìon fìor-ùine le bhith a’ comharrachadh agus a’ cur stad air gnìomhachd droch-rùnach.
- Dearbhadh Neo-riaghailteachdA’ cumail sùil leantainneach airson giùlan neo-àbhaisteach, leithid cur an gnìomh sgriobtaichean gun chead.
- CI/CD IntegrationBidh e a’ sganadh togail is cleachdadh gu fèin-ghluasadach gus dèanamh cinnteach gu bheil iad tèarainte.
- Riaghailtean CustomizableLeigidh seo le sgiobaidhean tèarainteachd rabhaidhean sònraichte a shuidheachadh a rèir feumalachdan na buidhne.
Gus mìneachadh nas mionaidiche, chuireadh lorg neo-riaghailteachdan stad air sgriobtaichean droch-rùnach bho bhith a’ gabhail brath air so-leòntachd XSS stèidhichte air DOM sa bhad.
Sgriobtadh Thar-Làraich Thar a’ Bhrabhsair
Tha ionnsaighean Sgriobtaidh Thar-Làraich a’ dol nas fhaide na làraichean-lìn traidiseanta. Tha APIan, aplacaidean gluasadach agus innealan IoT so-leònte cuideachd:
- APIFaodaidh luchd-ionnsaigh còd droch-rùnach a chuir a-steach do phuingean crìochnachaidh API nach eil air an dearbhadh gu math, a’ nochdadh dàta mothachail.
- ExampleChaidh briseadh a-steach do aplacaid ionmhais nuair a ghabh luchd-hacaidh brath air ceann-uidhe API gus faighinn gu mion-fhiosrachadh cunntais luchd-ceannach.
- -làimhe AppsBidh frèamaichean mì-thèarainte agus brobhsairean in-app a’ dèanamh aplacaidean gluasadach so-leònte ri XSS.
- Innealan IoTFaodaidh luchd-ionnsaigh eadar-aghaidhean lìn a mhilleadh air innealan dachaigh snasail, a’ faighinn smachd air lìonraidhean.
Anns a’ chùis seo, tha dearbhadh cuir-a-steach agus sgrùdadh ùine-ruith deatamach gus na siostaman sin a dhèanamh tèarainte.
A’ dìon nan aplacaidean agad an aghaidh ionnsaighean sgriobtaidh thar-làraich
Tha sgriobtadh thar-làraich fhathast na chunnart mòr, ach tha fuasglaidhean Xygeni a’ cuideachadh bhuidhnean gus fuireach air thoiseach. A’ tuigsinn dè a th’ ann an Sgriobtadh Thar-làraich agus a’ cleachdadh innealan adhartach leithid SAST agus leigidh sgrùdadh ruith-ùine le luchd-leasachaidh so-leòntachd a thoirt air falbh agus aplacaidean a dhìon ann an àm fìor.
Na bi a’ feitheamh ris an ath bhriseadh - Glèidh demo agus rannsaich fuasglaidhean Xygeni gus do dhìonan a neartachadh an-diugh.
Tha feum air dìon ro-ghnìomhach agus ioma-fhilleadh gus stad a chur air Sgriobtadh Thar-Làraichean (XSS). Tha seo a’ ciallachadh dèiligeadh ri cunnartan tràth san leasachadh agus a’ leantainn air adhart a’ dìon aplacaidean aon uair ‘s gu bheil iad beò. Tha fuasglaidhean Xygeni air an dealbhadh gus an dà cheann a chòmhdach, a’ dèanamh cinnteach à tèarainteachd coileanta.
A’ glacadh dhuilgheadasan tràth le Xygeni SAST
Deuchainn Tèarainteachd Iarrtasan Statach Xygeni (SAST) Tha an inneal seo na inneal a tha ag atharrachadh a’ gheama do luchd-leasachaidh. Bidh e a’ sganadh do chòd fhad ’s a tha thu ga sgrìobhadh, a’ comharrachadh so-leòntachd Sgriobtadh Thar-Làrach mus bi cothrom aca a thoirt a-steach do riochdachadh. Ann an ùine ghoirid, cuidichidh e thu le bhith a’ càradh dhuilgheadasan tràth, nuair a tha e nas luaithe agus nas saoire sin a dhèanamh.
Seo na rudan a tha a’ dèanamh Xygeni SAST Seas a-mach:
- Rabhadh Fìor-ùineFaigh fios air ais sa bhad mu laigsean fhad ’s a bhios tu a’ còdadh, gus an urrainn dhut an càradh sa bhad.
- Dearbh-aithne mionaideachTha Xygeni a’ sealltainn dhut dìreach càite a bheil an duilgheadas, sìos chun loidhne còd.
- Amalachadh gun fhiostaAg obair gun oidhirp leis na h-innealan as fheàrr leat, leithid IntelliJ IDEA, Visual Studio Code, agus CI/CD pipelines.
- Dearbhadh adhartachA’ comharrachadh chùisean duilich leithid làimhseachadh cuir-a-steach mì-shàbhailte agus atharrachaidhean DOM mì-thèarainte.
Gu h-iomlan, Xygeni's SAST a’ lughdachadh cunnart ionnsaighean XSS le bhith a’ glacadh so-leòntachd aig an stòr, a’ dèanamh do chòd nas sàbhailte bhon toiseach.
A’ neartachadh dìonan le sgrùdadh ruith-ùine
Tha sgrùdadh ùine-ruith riatanach airson casg a chur air bagairtean a tha a’ sìor atharrachadh. Bidh innealan Xygeni a’ toirt seachad dìon fìor-ùine le bhith a’ comharrachadh agus a’ cur stad air gnìomhachd droch-rùnach.
- Dearbhadh Neo-riaghailteachdA’ cumail sùil leantainneach airson giùlan neo-àbhaisteach, leithid cur an gnìomh sgriobtaichean gun chead.
- CI/CD IntegrationBidh e a’ sganadh togail is cleachdadh gu fèin-ghluasadach gus dèanamh cinnteach gu bheil iad tèarainte.
- Riaghailtean CustomizableLeigidh seo le sgiobaidhean tèarainteachd rabhaidhean sònraichte a shuidheachadh a rèir feumalachdan na buidhne.
Gus mìneachadh nas mionaidiche, chuireadh lorg neo-riaghailteachdan stad air sgriobtaichean droch-rùnach bho bhith a’ gabhail brath air so-leòntachd XSS stèidhichte air DOM sa bhad.
Sgriobtadh Thar-Làraich Thar a’ Bhrabhsair
Tha ionnsaighean Sgriobtaidh Thar-Làraich a’ dol nas fhaide na làraichean-lìn traidiseanta. Tha APIan, aplacaidean gluasadach agus innealan IoT so-leònte cuideachd:
- APIFaodaidh luchd-ionnsaigh còd droch-rùnach a chuir a-steach do phuingean crìochnachaidh API nach eil air an dearbhadh gu math, a’ nochdadh dàta mothachail.
- ExampleChaidh briseadh a-steach do aplacaid ionmhais nuair a ghabh luchd-hacaidh brath air ceann-uidhe API gus faighinn gu mion-fhiosrachadh cunntais luchd-ceannach.
- -làimhe AppsBidh frèamaichean mì-thèarainte agus brobhsairean in-app a’ dèanamh aplacaidean gluasadach so-leònte ri XSS.
- Innealan IoTFaodaidh luchd-ionnsaigh eadar-aghaidhean lìn a mhilleadh air innealan dachaigh snasail, a’ faighinn smachd air lìonraidhean.
Anns a’ chùis seo, tha dearbhadh cuir-a-steach agus sgrùdadh ùine-ruith deatamach gus na siostaman sin a dhèanamh tèarainte.
A’ dìon nan aplacaidean agad an aghaidh ionnsaighean sgriobtaidh thar-làraich
Tha sgriobtadh thar-làraich fhathast na chunnart mòr, ach tha fuasglaidhean Xygeni a’ cuideachadh bhuidhnean gus fuireach air thoiseach. A’ tuigsinn dè a th’ ann an Sgriobtadh Thar-làraich agus a’ cleachdadh innealan adhartach leithid SAST agus leigidh sgrùdadh ruith-ùine le luchd-leasachaidh so-leòntachd a thoirt air falbh agus aplacaidean a dhìon ann an àm fìor.
Na bi a’ feitheamh ris an ath bhriseadh - Glèidh demo agus rannsaich fuasglaidhean Xygeni gus do dhìonan a neartachadh an-diugh.
