Rubuce-rubucen Yanar Gizo (XSS) wani rauni ne da ke ba wa masu hari damar shigar da rubutun banza cikin shafukan yanar gizo masu aminci, waɗanda daga nan za su shiga cikin burauzar duk wanda ya ziyarta. Yana bayan wasu daga cikin mafi girman kutse a cikin ƙwaƙwalwar ajiya ta baya-bayan nan, ciki har da British Airways da eBay, yana fallasa miliyoyin masu amfani ga satar bayanai, satar bayanai a asusun, da kuma zamba. Wannan jagorar ta ƙunshi manyan nau'ikan XSS guda uku, misalan ainihin kowanne, da kuma yadda za a hana su.
Menene Rubutun Rubutun Rubutu (XSS)?
Rubuce-rubucen Yanar Gizo (XSS) wani rauni ne da ke bawa masu hari damar saka rubutun da ke cutarwa a cikin shafukan yanar gizo masu aminci. Lokacin da masu amfani suka yi mu'amala da waɗannan shafukan, rubutun yana gudana a cikin burauzar su. Saboda wannan dalili, XSS na iya haifar da manyan haɗari, kamar:
- Satar bayanai: Masu kai hari suna satar bayanai na sirri kamar kukis na zaman da login takardun shaidarka.
- Hikayar Zama: Masu kai hari suna samun damar shiga zaman masu amfani masu aiki kuma suna kwaikwayon su.
- Ayyukan da ba a ba da izini ba: Rubutun mugunta suna aiwatar da ayyuka ba tare da sanin wanda aka zalunta ba.
Rashin lafiyar XSS yawanci yana faruwa ne sakamakon rashin ingantaccen inganci ko tsaftace shigarwar mai amfani. Fahimtar yadda waɗannan hare-haren ke aiki shine mataki na farko don hana su.
Nau'ikan Hare-haren Rubuce-rubucen Yanar Gizo da Misalan Duniya ta Gaske
Masana tsaro sun rarraba hare-haren Cross Site Scripting zuwa manyan nau'i uku: A adana, Reflected, da kuma DOM-Based XSS. Kowane nau'i yana kai hari ga rauni daban-daban a cikin aikace-aikacen yanar gizo, wanda ke haifar da sakamako na musamman. Don ƙarin bayani, ga yadda kowane nau'i ke aiki da misalan lalacewar da za su iya haifarwa.
Rubuce-rubucen Yanar Gizo Masu Ajiya (XSS)
XSS da aka adana, wanda kuma aka sani da XSS mai ɗorewa, yana faruwa ne lokacin da aka adana rubutun masu cutarwa har abada akan sabar. Misali, ana iya adana waɗannan rubutun a cikin rumbun adana bayanai ko bayanin martaba na mai amfani. Duk lokacin da wani ya sami damar shiga albarkatun da aka lalata, rubutun yana aiki ta atomatik.
Masu kai hari galibi suna amfani da Storaged XSS don kai hari ga dandamali masu yawan zirga-zirga. Saboda mummunan aikin yana kan sabar, yana iya shafar dubban masu amfani kafin a gano su.
Misali na Gaskiya: eBay (2014)
A shekarar 2014, maharan sun saka JavaScript mai cutarwa a cikin Jerin samfuran eBay. Wannan ya faru ne saboda eBay bai tsaftace bayanan da mai amfani ya shigar daidai ba. Duk lokacin da masu amfani suka ziyarci jerin abubuwan da abin ya shafa, masu binciken yanar gizon su suna aiwatar da rubutun da ba shi da kyau ba tare da saninsu ba.
Sakamakon:
- An tura waɗanda abin ya shafa zuwa shafukan yanar gizo na leƙen asiri, inda maharan suka yi sata login takardun shaida da bayanan sirri.
- eBay ya fuskanci mummunan lahani ga suna saboda rashin isasshen tsaro.
- Sakamakon haka, wannan shari'ar ta nuna matuƙar buƙatar ingantaccen tabbatar da shigarwa da kuma sa ido kan lokaci.
Rubuce-rubucen Yanar Gizo Mai Nuni (XSS)
XSS mai nuna ra'ayi yana faruwa ne lokacin da aka saka rubutun masu cutarwa a cikin URL ko shigarwar fom kuma aka nuna a cikin martanin sabar. Wannan nau'in harin Cross Site Scripting yawanci ana isar da shi ta hanyar hanyoyin phishing kuma yana aiki da zarar wanda aka azabtar ya danna hanyar haɗin.
A lokaci guda kuma, Reflected XSS yana shafar waɗanda abin ya shafa amma har yanzu yana iya haifar da mummunan sakamako.
Misali na Gaske: British Airways (2018)
Kamfanin British Airways ya yi hatsarin Rashin lafiyar XSS da aka nuna a shekarar 2018. Masu kai hari sun ƙirƙiri hanyoyin haɗin yanar gizo na phishing waɗanda ke ɗauke da rubutun da aka saka, suna yaudarar masu amfani da su don danna su.
Sakamakon:
- Masu kutse sun sace muhimman bayanai na abokan ciniki, ciki har da sunaye, adireshi, da bayanan katin biyan kuɗi.
- Sama da kwastomomi 400,000 ne abin ya shafa, wanda ya kai ga tarar dala miliyan 20 na GDPR ga kamfanin British Airways.
- Gabaɗaya, wannan keta haƙƙin ya nuna haɗarin kuɗi da na shari'a da ke tattare da raunin rubutun Cross-Site.
Rubuce-rubucen Yanar Gizo na DOM (XSS)
XSS na tushen DOM yana faruwa ne lokacin da maharan suka yi amfani da burauzar Takardar Nasihu na Takardar (DOM) maimakon kai hari kan raunin da ke tattare da uwar garken. Wannan harin yana ketare tantancewar gefen uwar garken gaba ɗaya kuma galibi yana amfani da hanyoyin JavaScript marasa aminci kamar innerHTML or document.write().
Domin misali, ga misali na XSS da ke tushen DOM a aikace.
Misali na Gaske: GitHub (2020)
A shekarar 2020, maharan sun yi amfani da wani abu da ake kira Raunin raunin XSS da aka gina a DOM a cikin aikin bincike na GitHub. Sun saka rubutun banza a cikin shigarwar binciken bincike, suna ketare kariyar sabar.
Sakamakon:
- Maharan sun sace kukis na zaman da alamun tantancewa, wanda hakan ya ba da damar shiga ma'ajiyar bayanai ba tare da izini ba.
- GitHub ya gyara matsalar nan take, amma shari'ar ta nuna haɗarin da raunin abokan ciniki ke haifarwa.
Kana son ƙarin koyo game da ci gaba da fuskantar barazana a ainihin lokaci?
Sauke faratinmu, 'Gargaɗi da Farko: Gano Barazana da Fifiko a Lokacin Ainihin Lokaci,' kuma gano yadda za ku kare tsarin samar da software ɗinku.
Yadda Ake Hana Rubuce-rubucen Yanar Gizo (XSS)
Dakatar da Tsarin Rubuce-rubucen Yanar Gizo (XSS) yana buƙatar kariya mai ƙarfi da tsari. Wannan yana nufin magance matsalar. vulnerabilities da wuri a cikin haɓakawa da kuma ci gaba da kare aikace-aikace da zarar sun kasance a raye. An tsara mafita na Xygeni don rufe ɓangarorin biyu, don tabbatar da cikakken tsaro.
Magance Matsaloli da wuri tare da Xygeni's SAST
Gwajin Tsaron Aikace-aikacen Tsaye na Xygeni (SAST) Kayan aiki wani abu ne mai sauƙin canzawa ga masu haɓaka software. Yana duba lambar ku yayin da kuke rubuta ta, yana gano raunin da ke tattare da rubutun yanar gizo kafin su sami damar shiga cikin samarwa. A takaice, yana taimaka muku gyara matsaloli da wuri, lokacin da ya fi sauri kuma ya fi araha.
Ga abin da ke sa Xygeni ya zama SAST fice:
- Faɗakarwar Lokaci: Sami ra'ayoyi nan take game da raunin da ke tattare da shi yayin da kake rubuta lambar, don haka zaka iya gyara su nan take.
- Ainihin Gaskiya: Xygeni yana nuna maka ainihin inda matsalar take, har zuwa layin lambar.
- Rashin Kunya: Yana aiki ba tare da wata matsala ba tare da kayan aikin da kuka fi so, kamar IntelliJ IDEA, Visual Studio Code, da CI/CD pipelines.
- Gano Gano: Yana gano matsaloli masu rikitarwa kamar sarrafa shigarwa mara aminci da kuma sarrafa DOM mara tsaro.
Gabaɗaya, Xygeni's SAST yana rage haɗarin hare-haren XSS ta hanyar kama rauni a tushen, yana sa lambar ku ta fi aminci tun daga farko.
Ƙarfafa Kare ta hanyar Kula da Lokacin Aiki
Kula da lokacin aiki yana da mahimmanci don toshe barazanar da ke tasowa. Kayan aikin Xygeni suna ba da kariya ta ainihin lokaci ta hanyar gano da kuma dakatar da ayyukan mugunta.
- Gano Anomaly: Yana ci gaba da sa ido kan halaye marasa kyau, kamar aiwatar da rubuce-rubuce ba tare da izini ba.
- CI/CD hadewa: Yana duba gine-gine da kuma abubuwan da aka tura ta atomatik don tabbatar da cewa suna da tsaro.
- Dokokin da za a iya daidaita su: Yana bawa ƙungiyoyin tsaro damar saita takamaiman faɗakarwa bisa ga buƙatun ƙungiya.
Don ƙarin bayani, gano abubuwan da ba su dace ba zai hana yin amfani da raunin XSS na tushen DOM nan take.
Rubuce-rubucen Yanar Gizo Fiye da Mai Binciken
Hare-haren Rubuce-rubucen Yanar Gizo sun wuce shafukan yanar gizo na gargajiya. APIs, manhajojin wayar hannu, da na'urorin IoT suma suna da rauni:
- APIs: Masu kai hari za su iya shigar da lambar mugunta a cikin ƙarshen API da ba a tabbatar da su sosai ba, suna fallasa bayanai masu mahimmanci.
- Example: An karya wani aikace-aikacen kuɗi lokacin da masu kutse suka yi amfani da maɓallin API don samun damar bayanan asusun abokin ciniki.
- mobile Apps: Tsarin tsaro mara tsaro da masu bincike a cikin manhajoji suna sa manhajojin wayar hannu su zama masu rauni ga XSS.
- Na'urar IoT: Masu kai hari za su iya lalata hanyoyin sadarwa na yanar gizo akan na'urorin gida masu wayo, suna samun iko akan hanyoyin sadarwa.
A wannan yanayin, tabbatar da shigarwar bayanai da sa ido kan lokacin aiki suna da mahimmanci don tabbatar da waɗannan tsarin.
Kare Aikace-aikacenku Daga Hare-haren Rubuce-rubucen Yanar Gizo
Tsarin rubutun yanar gizo na Cross-Site ya kasance babban barazana, amma mafita na Xygeni yana taimaka wa ƙungiyoyi su ci gaba. Fahimtar menene Tsarin Rubutun Yanar Gizo da amfani da kayan aiki na zamani kamar SAST kuma sa ido kan lokacin aiki yana bawa masu haɓaka damar kawar da rauni da kuma kare aikace-aikace a ainihin lokaci.
Kada ku jira wani keta doka na gaba - Rubuta demo kuma ku binciki hanyoyin da Xygeni ke bi don ƙarfafa tsaronku a yau.
Dakatar da Tsarin Rubuce-rubucen Yanar Gizo (XSS) yana buƙatar kariya mai ƙarfi da tsari. Wannan yana nufin magance matsalar. vulnerabilities da wuri a cikin haɓakawa da kuma ci gaba da kare aikace-aikace da zarar sun kasance a raye. An tsara mafita na Xygeni don rufe ɓangarorin biyu, don tabbatar da cikakken tsaro.
Magance Matsaloli da wuri tare da Xygeni's SAST
Gwajin Tsaron Aikace-aikacen Tsaye na Xygeni (SAST) Kayan aiki wani abu ne mai sauƙin canzawa ga masu haɓaka software. Yana duba lambar ku yayin da kuke rubuta ta, yana gano raunin da ke tattare da rubutun yanar gizo kafin su sami damar shiga cikin samarwa. A takaice, yana taimaka muku gyara matsaloli da wuri, lokacin da ya fi sauri kuma ya fi araha.
Ga abin da ke sa Xygeni ya zama SAST fice:
- Faɗakarwar Lokaci: Sami ra'ayoyi nan take game da raunin da ke tattare da shi yayin da kake rubuta lambar, don haka zaka iya gyara su nan take.
- Ainihin Gaskiya: Xygeni yana nuna maka ainihin inda matsalar take, har zuwa layin lambar.
- Rashin Kunya: Yana aiki ba tare da wata matsala ba tare da kayan aikin da kuka fi so, kamar IntelliJ IDEA, Visual Studio Code, da CI/CD pipelines.
- Gano Gano: Yana gano matsaloli masu rikitarwa kamar sarrafa shigarwa mara aminci da kuma sarrafa DOM mara tsaro.
Gabaɗaya, Xygeni's SAST yana rage haɗarin hare-haren XSS ta hanyar kama rauni a tushen, yana sa lambar ku ta fi aminci tun daga farko.
Ƙarfafa Kare ta hanyar Kula da Lokacin Aiki
Kula da lokacin aiki yana da mahimmanci don toshe barazanar da ke tasowa. Kayan aikin Xygeni suna ba da kariya ta ainihin lokaci ta hanyar gano da kuma dakatar da ayyukan mugunta.
- Gano Anomaly: Yana ci gaba da sa ido kan halaye marasa kyau, kamar aiwatar da rubuce-rubuce ba tare da izini ba.
- CI/CD hadewa: Yana duba gine-gine da kuma abubuwan da aka tura ta atomatik don tabbatar da cewa suna da tsaro.
- Dokokin da za a iya daidaita su: Yana bawa ƙungiyoyin tsaro damar saita takamaiman faɗakarwa bisa ga buƙatun ƙungiya.
Don ƙarin bayani, gano abubuwan da ba su dace ba zai hana yin amfani da raunin XSS na tushen DOM nan take.
Rubuce-rubucen Yanar Gizo Fiye da Mai Binciken
Hare-haren Rubuce-rubucen Yanar Gizo sun wuce shafukan yanar gizo na gargajiya. APIs, manhajojin wayar hannu, da na'urorin IoT suma suna da rauni:
- APIs: Masu kai hari za su iya shigar da lambar mugunta a cikin ƙarshen API da ba a tabbatar da su sosai ba, suna fallasa bayanai masu mahimmanci.
- Example: An karya wani aikace-aikacen kuɗi lokacin da masu kutse suka yi amfani da maɓallin API don samun damar bayanan asusun abokin ciniki.
- mobile Apps: Tsarin tsaro mara tsaro da masu bincike a cikin manhajoji suna sa manhajojin wayar hannu su zama masu rauni ga XSS.
- Na'urar IoT: Masu kai hari za su iya lalata hanyoyin sadarwa na yanar gizo akan na'urorin gida masu wayo, suna samun iko akan hanyoyin sadarwa.
A wannan yanayin, tabbatar da shigarwar bayanai da sa ido kan lokacin aiki suna da mahimmanci don tabbatar da waɗannan tsarin.
Kare Aikace-aikacenku Daga Hare-haren Rubuce-rubucen Yanar Gizo
Tsarin rubutun yanar gizo na Cross-Site ya kasance babban barazana, amma mafita na Xygeni yana taimaka wa ƙungiyoyi su ci gaba. Fahimtar menene Tsarin Rubutun Yanar Gizo da amfani da kayan aiki na zamani kamar SAST kuma sa ido kan lokacin aiki yana bawa masu haɓaka damar kawar da rauni da kuma kare aikace-aikace a ainihin lokaci.
Shin kuna shirye ku kama XSS kafin ya kai ga samarwa? Rubuta demo kuma ga yadda Xygeni yake SAST kuma sa ido kan lokacin aiki yana aiki tare.
FAQ
Mene ne nau'ikan XSS guda uku?
XSS da aka adana (mai ɗorewa) yana adana rubutun da ba shi da kyau a kan sabar, don haka yana aiki ga kowane baƙo. XSS da aka nuna yana saka rubutun a cikin URL ko shigarwar fom, yana aiwatarwa sau ɗaya lokacin da wanda aka azabtar ya danna hanyar haɗin da aka ƙera. XSS da aka gina a DOM yana sarrafa Tsarin Abubuwan Takardar Mai binciken kai tsaye, yana ketare kariyar gefen sabar gaba ɗaya.
Shin har yanzu raunin XSS ya zama ruwan dare gama gari?
Eh. XSS ta haifar da kutse a manyan dandamali, ciki har da eBay, British Airways, da GitHub, wanda ya ƙunshi nau'ikan da aka adana, aka nuna, da kuma waɗanda suka dogara da DOM, wanda ke nuna cewa har yanzu yana da haɗari a cikin nau'ikan aikace-aikace daban-daban, ba matsala da aka warware ba.
Shin XSS zai iya shafar wani abu banda gidajen yanar gizo?
Eh. APIs, manhajojin wayar hannu, da na'urorin IoT duk suna cikin haɗarin kamuwa da allurar XSS idan ba a tabbatar da shigarwar da kyau ba, za a iya amfani da ƙarshen API mara tsaro ko mai bincike a cikin manhaja kamar yadda shafin yanar gizo na gargajiya zai iya amfani da shi.
Ta yaya za a iya kama XSS kafin ya kai ga samarwa?
Gwajin Tsaron Aikace-aikace Mai Tsayi (SAST) yana duba lambar yayin da aka rubuta ta kuma yana nuna alamun sarrafa shigarwa mara aminci ko sarrafa DOM kafin a tura ta. Sa ido kan lokacin gudu da gano abubuwan da ba su dace ba sannan ya rufe abin da SAST ba za a iya gani ba, aiwatar da rubuce-rubuce marasa ban mamaki da ke faruwa kai tsaye a cikin samarwa.
