Lisi o Nofoaga Tusitusia (XSS) o se tasi lea o vaivaiga sili ona mataʻutia i le saogalemu o talosaga i luga o le upega tafaʻilagi, e aʻafia ai le tele o 40% o talosaga uepi i le lalolagi atoa. O le ā le Cross-Site Scripting, ma aiseā ua faaauau ai pea ona avea ma lamatiaga matuia? Ua mafua ai e le XSS nisi o solitulafono tetele o le solia o faamatalaga, e aofia ai ma solitulafono i British Airways ma eBay, ma ua lamatia ai le faitau miliona o tagata faaaoga i le gaoia o faamatalaga, faoa faamalosi o teugatupe, ma faiga taufaasese. Ina ia faamamafaina, o le malamalama i le uiga o le Cross-Site Scripting, o ituaiga o osofaiga a le Cross Site Scripting, ma auala sili e puipuia ai e taua tele mo le tausia o le saogalemu o polokalama faakomepiuta i aso nei.
O le ā le Cross-Site Scripting (XSS)?
O le Cross-Site Scripting (XSS) o se vaivaiga e mafai ai e tagata osofaʻi ona tuʻuina atu ni tusitusiga leaga i totonu o itulau uepi faʻatuatuaina. A fegalegaleai tagata faʻaoga ma nei itulau, e faʻagaoioia tusitusiga i totonu oa latou browsers. Mo lenei mafuaʻaga, e mafai e le XSS ona oʻo atu ai i ni lamatiaga tetele, e pei o:
- Gaoi Fa'amatalaga: E gaoi e tagata osofaʻi faʻamatalaga patino e pei o kuki o sauniga ma login fa'ailoga.
- Fasiotiga i Sauniga: E maua e le au osofa'i le avanoa i sauniga a tagata fa'aoga o lo'o galue ma fa'afoliga o latou o ni tagata.
- Gaioiga e le'i Fa'atagaina: E fa'atino e tusitusiga leaga ni gaioiga e aunoa ma le iloa e le tagata ua a'afia.
Ae maise lava, o vaivaiga o le XSS e masani ona tutupu ona o le le lelei o le faʻamaoniga poʻo le faʻamamaina o mea na faʻaaogaina e tagata faʻaoga. O le iloa o le uiga o le Cross-Site Scripting e fesoasoani i faʻalapotopotoga e puipuia nei osofaʻiga ma puipuia ai a latou tagata faʻaoga.
Ituaiga o Osofa'iga Fa'a-Service Site Scripting ma Fa'ata'ita'iga Moni
E fa'avasega e tagata tomai fa'apitoa i le saogalemu osofa'iga o le Cross Site Scripting i ni ituaiga autu se tolu: Stored, Reflected, ma le DOM-Based XSS. O ituaiga ta'itasi e taula'i i vaivaiga eseese i totonu o polokalame uepi, e o'o atu ai i ni taunuuga tulaga ese. Mo se fa'amatalaga atili, o le auala lea e galue ai ituaiga ta'itasi ma fa'ata'ita'iga o fa'aleagaina e mafai ona latou mafua ai.
Tusitusiga Fa'asolo-Site ua Fa'asaoina (XSS)
O le XSS teuina, e taʻua foʻi o le persistent XSS, e tupu pe a sefe tumau tusitusiga faʻaleagaina i luga o se 'auʻaunaga. Mo se faʻataʻitaʻiga, e mafai ona teuina nei tusitusiga i totonu o se faʻamaumauga poʻo se faʻamatalaga a le tagata faʻaoga. Soo se taimi lava e ulufale ai se tasi i le punaoa ua faʻaleagaina, e otometi lava ona faʻatinoina le tusitusiga.
E masani ona fa'aogaina e le au osofa'i le Stored XSS e fa'atatau i fa'avae e tele ai tagata e feoa'i. Talu ai ona o lo'o tumau pea le uta leaga i luga o le 'au'aunaga, e mafai ona a'afia ai le faitau afe o tagata fa'aoga a'o le'i iloa.
Fa'ata'ita'iga i le Lalolagi Moni: eBay (2014)
I le 2014, na fa'aofi ai e le au osofa'i le JavaScript leaga i totonu Lisi o oloa a le eBay. Na tupu lenei mea ona e le'i fa'amamāina sa'o e le eBay mea na ulufale mai ai tagata fa'aoga. Soo se taimi lava e asiasi ai tagata fa'aoga i lisi ua a'afia, e le'i iloa e a latou su'esu'ega le fa'amaumauga leaga.
Taunuuga:
- Na toe faasino atu tagata na aafia i upega tafailagi taufaasese, lea na gaoia ai e tagata osofaʻi login fa'amaoniga ma fa'amatalaga patino.
- Sa matuā faaleagaina le igoa tauleleia o le eBay ona o le leai o se puipuiga talafeagai.
- O le iʻuga, o lenei mataupu ua faʻaalia ai le matuā manaʻomia o le faʻamaoniga malosi o mea na ulufale mai ma le mataʻituina i le taimi moni.
Tusitusiga Fa'alava o le Upega Tafa'ilagi ua Toe Fa'aalia (XSS)
E tupu le Reflected XSS pe a fa'apipi'i tusitusiga fa'aleagaina i totonu o se URL po'o se fomu ma atagia mai i le tali a le 'au'aunaga. O lenei ituaiga o osofa'iga o le Cross Site Scripting e masani ona tu'uina atu e ala i feso'ota'iga phishing ma fa'atinoina i le taimi lava e kiliki ai e le tagata ua a'afia le feso'ota'iga.
I le taimi lava e tasi, e aʻafia e le Reflected XSS tagata taʻitoʻatasi ua aʻafia ae mafai lava ona oʻo atu ai i ni taunuuga matuia.
Fa'ata'ita'iga Moni o le Lalolagi: British Airways (2018)
Sa aafia British Airways i se Vaivaiga o le XSS ua atagia mai i le 2018. Na fatuina e le au osofaʻi ni sootaga phishing o loʻo i ai ni tusitusiga ua faʻapipiʻiina, ma faʻasesē ai tagata faʻaoga e kiliki i ai.
Taunuuga:
- Na gaoia e tagata faomea faamatalaga patino a tagata faatau, e aofia ai igoa, tuatusi, ma faamatalaga o kata totogi.
- E silia ma le 400,000 tagata faʻatau na aʻafia, ma iʻu ai ina totogi e British Airways le sala tupe e £20 miliona mai le GDPR.
- O le aotelega, o le soliga na faʻamamafaina ai tulaga lamatia tau tupe ma tulafono e fesoʻotaʻi ma vaivaiga o le Cross-Site Scripting.
Tusitusiga Fa'a-Site Fa'avae-DOM (XSS)
E tupu le DOM-Based XSS pe a fa'aogaina e tagata osofa'i le browser's Fa'ata'ita'iga o Fa'amaumauga (DOM) nai lo le taulaʻi atu i vaivaiga o le 'auʻaunaga. O lenei osofaʻiga e faʻaitiitia atoa le faʻamaoniga o le 'auʻaunaga ma e masani ona faʻaaogaina metotia JavaScript e le saogalemu e pei o innerHTML or document.write().
Mo se faʻataʻitaʻiga, o se faʻataʻitaʻiga lea o le faʻatinoina o le DOM-Based XSS.
Fa'ata'ita'iga o le Lalolagi Moni: GitHub (2020)
I le 2020, na faʻaaogaina ai e le au osofaʻi se Vaivaiga XSS fa'avae i le DOM i le galuega su'esu'e a le GitHub. Na latou fa'aofiina ni tusitusiga leaga i totonu o fesili su'esu'e, ma sopo'ia ai puipuiga a le 'au'aunaga.
Taunuuga:
- Na gaoia e le au osofa'i kuki o le sauniga ma fa'ailoga fa'amaonia, ma fa'ataga ai le avanoa e le'i fa'atagaina i fale teu oloa.
- Sa vave ona faaleleia e le GitHub le faafitauli, peitai o le mataupu ua faaalia ai tulaga lamatia e mafua mai i vaivaiga o le itu a le kalani.
E te fia iloa atili e uiga i le puipuia o taufaamata'u i le taimi moni?
La'u mai la matou pepa pa'epa'e, 'Lapata'iga Vave: Iloa ma Fa'amuamua o Lamatiaga i le Taimi Moni,' ma iloa pe fa'apefea ona puipuia lau sapalai o polokalama faakomepiuta.
Auala e Puipuia ai le Fa'aaogaina o Tusitusiga i Luga o Upega Tafa'ilagi (XSS)
O le taofia o le Cross-Site Scripting (XSS) e manaʻomia ai se puipuiga faʻapitoa ma faʻasolosolo. O lona uiga o le taulimaina o vaivaiga i le amataga o le atinaʻeina ma faʻaauau pea ona puipuia talosaga pe a faʻaaogaina. O fofo a Xygeni ua mamanuina e aofia ai itu uma e lua, ma faʻamautinoa ai le saogalemu atoatoa.
Mauaina vave o Fa'afitauli i le Xygeni's SAST
Su'ega o le Saogalemu o Talosaga Tumau a Xygeni (SAST) O le meafaigaluega o se suiga tele mo le au atiaʻe. E suʻesuʻeina lau code aʻo e tusia, ma faʻailoa ai vaivaiga o le Cross-Site Scripting aʻo leʻi maua le avanoa e faia ai. I se aotelega, e fesoasoani ia te oe e foia vave faafitauli, pe a vave ma taugofie le faia.
O le mea lea e fai ai Xygeni's SAST iloa mamao atu:
- Mataala mo Taimi TaimiMaua vave ni manatu faaalia e uiga i vaivaiga a'o e faia ni polokalame (code), ina ia mafai ona e faaleleia loa.
- Fa'ailoga Sa'oE faʻaali atu e Xygeni ia te oe le mea tonu o loʻo i ai le faʻafitauli, e oʻo lava i le laina o le code.
- Seamless Faʻatasi: Galue ma le faigofie i au meafaigaluega e te fiafia i ai, e pei o le IntelliJ IDEA, Visual Studio Code, ma CI/CD pipelines.
- Su'esu'ega Maualuga: Fa'ailoa mai fa'afitauli faigata e pei o le taulimaina o fa'amatalaga e le saogalemu ma le le saogalemu o le fa'aogaina o le DOM.
I le aotelega, o Xygeni's SAST faʻaitiitia le lamatiaga o osofaʻiga a le XSS e ala i le puʻeina o vaivaiga i le puna, ma faʻamautinoa ai le saogalemu o lau code mai le amataga.
Fa'amalosia o Puipuiga i le Runtime Monitoring
E taua tele le mata'ituina o le taimi e fa'agaoioia ai mo le taofia o fa'amata'u o lo'o fa'atupula'ia. O meafaigaluega a Xygeni e maua ai le puipuiga i le taimi moni e ala i le fa'ailoaina ma le taofia o gaioiga leaga.
- Mauaina o Anomaly: Fa'aauau pea ona mata'ituina ni amioga e le masani ai, e pei o le fa'atinoina o tusitusiga e le'i fa'atagaina.
- CI/CD sosoʻoga: E otometi lava ona su'esu'eina fausaga ma fa'asalalauga e fa'amautinoa ai o lo'o saogalemu.
- Tulafono Fa'atonu: E mafai ai e 'au saogalemu ona fa'atulaga ni fa'ailo fa'apitoa e fa'atatau i mana'oga o le fa'alapotopotoga.
Mo se fa'amatalaga atili, o le iloa o mea e le masani ai o le a taofia ai tusitusiga leaga mai le fa'aaogaina vave o se vaivaiga XSS fa'avae i le DOM.
Tusitusiga i luga o le Upega Tafaʻilagi e Faʻaopoopo i le Browser
E sili atu osofaʻiga a le Cross Site Scripting nai lo uepisaite masani. E vaivai foʻi API, polokalama feaveaʻi, ma masini IoT:
- APIE mafai e tagata osofaʻi ona faʻaofi se code leaga i totonu o API e leʻo faʻamaonia lelei, ma faʻaalia ai faʻamatalaga taua.
- faataitaigaNa solia se talosaga tau tupe ina ua fa'aaoga e tagata faomea se API endpoint e maua ai fa'amatalaga o teugatupe a le tagata fa'atau.
- Apps MobileO faʻavae e le saogalemu ma suʻesuʻega i totonu o polokalama e mafua ai ona vaivai polokalama feaveaʻi i le XSS.
- IoT DevicesE mafai e tagata osofaʻi ona faʻaleagaina fesoʻotaʻiga uepi i luga o masini atamai mo fale, ma maua ai le pule i luga o fesoʻotaʻiga.
I lenei tulaga, o le faʻamaoniga o le ulufale mai ma le mataʻituina o le taimi e faʻatino ai e taua tele i le faʻamautuina o nei faiga.
Puipuia o Au Talosaga Mai Osofa'iga Fa'a-Cross Site Scripting
O loʻo tumau pea le faʻamataʻu tele o le cross-site scripting, ae o fofo a Xygeni e fesoasoani i faʻalapotopotoga e tumau ai i luma. Malamalama i le uiga o le Cross-Site Scripting ma le faʻaaogaina o meafaigaluega faʻaonaponei e pei o SAST ma le mata'ituina o le taimi e fa'agaoioia ai e mafai ai e le au atia'e ona aveese vaivaiga ma puipuia polokalame i le taimi moni.
Aua le faatali mo le isi soliga - Tusi se faʻataʻitaʻiga ma suʻesuʻe fofo a Xygeni e faʻamalosia ai ou puipuiga i le asō.
O le taofia o le Cross-Site Scripting (XSS) e manaʻomia ai se puipuiga faʻapitoa ma faʻasolosolo. O lona uiga o le taulimaina o vaivaiga i le amataga o le atinaʻeina ma faʻaauau pea ona puipuia talosaga pe a faʻaaogaina. O fofo a Xygeni ua mamanuina e aofia ai itu uma e lua, ma faʻamautinoa ai le saogalemu atoatoa.
Mauaina vave o Fa'afitauli i le Xygeni's SAST
Su'ega o le Saogalemu o Talosaga Tumau a Xygeni (SAST) O le meafaigaluega o se suiga tele mo le au atiaʻe. E suʻesuʻeina lau code aʻo e tusia, ma faʻailoa ai vaivaiga o le Cross-Site Scripting aʻo leʻi maua le avanoa e faia ai. I se aotelega, e fesoasoani ia te oe e foia vave faafitauli, pe a vave ma taugofie le faia.
O le mea lea e fai ai Xygeni's SAST iloa mamao atu:
- Mataala mo Taimi TaimiMaua vave ni manatu faaalia e uiga i vaivaiga a'o e faia ni polokalame (code), ina ia mafai ona e faaleleia loa.
- Fa'ailoga Sa'oE faʻaali atu e Xygeni ia te oe le mea tonu o loʻo i ai le faʻafitauli, e oʻo lava i le laina o le code.
- Seamless Faʻatasi: Galue ma le faigofie i au meafaigaluega e te fiafia i ai, e pei o le IntelliJ IDEA, Visual Studio Code, ma CI/CD pipelines.
- Su'esu'ega Maualuga: Fa'ailoa mai fa'afitauli faigata e pei o le taulimaina o fa'amatalaga e le saogalemu ma le le saogalemu o le fa'aogaina o le DOM.
I le aotelega, o Xygeni's SAST faʻaitiitia le lamatiaga o osofaʻiga a le XSS e ala i le puʻeina o vaivaiga i le puna, ma faʻamautinoa ai le saogalemu o lau code mai le amataga.
Fa'amalosia o Puipuiga i le Runtime Monitoring
E taua tele le mata'ituina o le taimi e fa'agaoioia ai mo le taofia o fa'amata'u o lo'o fa'atupula'ia. O meafaigaluega a Xygeni e maua ai le puipuiga i le taimi moni e ala i le fa'ailoaina ma le taofia o gaioiga leaga.
- Mauaina o Anomaly: Fa'aauau pea ona mata'ituina ni amioga e le masani ai, e pei o le fa'atinoina o tusitusiga e le'i fa'atagaina.
- CI/CD sosoʻoga: E otometi lava ona su'esu'eina fausaga ma fa'asalalauga e fa'amautinoa ai o lo'o saogalemu.
- Tulafono Fa'atonu: E mafai ai e 'au saogalemu ona fa'atulaga ni fa'ailo fa'apitoa e fa'atatau i mana'oga o le fa'alapotopotoga.
Mo se fa'amatalaga atili, o le iloa o mea e le masani ai o le a taofia ai tusitusiga leaga mai le fa'aaogaina vave o se vaivaiga XSS fa'avae i le DOM.
Tusitusiga i luga o le Upega Tafaʻilagi e Faʻaopoopo i le Browser
E sili atu osofaʻiga a le Cross Site Scripting nai lo uepisaite masani. E vaivai foʻi API, polokalama feaveaʻi, ma masini IoT:
- APIE mafai e tagata osofaʻi ona faʻaofi se code leaga i totonu o API e leʻo faʻamaonia lelei, ma faʻaalia ai faʻamatalaga taua.
- faataitaigaNa solia se talosaga tau tupe ina ua fa'aaoga e tagata faomea se API endpoint e maua ai fa'amatalaga o teugatupe a le tagata fa'atau.
- Apps MobileO faʻavae e le saogalemu ma suʻesuʻega i totonu o polokalama e mafua ai ona vaivai polokalama feaveaʻi i le XSS.
- IoT DevicesE mafai e tagata osofaʻi ona faʻaleagaina fesoʻotaʻiga uepi i luga o masini atamai mo fale, ma maua ai le pule i luga o fesoʻotaʻiga.
I lenei tulaga, o le faʻamaoniga o le ulufale mai ma le mataʻituina o le taimi e faʻatino ai e taua tele i le faʻamautuina o nei faiga.
Puipuia o Au Talosaga Mai Osofa'iga Fa'a-Cross Site Scripting
O loʻo tumau pea le faʻamataʻu tele o le cross-site scripting, ae o fofo a Xygeni e fesoasoani i faʻalapotopotoga e tumau ai i luma. Malamalama i le uiga o le Cross-Site Scripting ma le faʻaaogaina o meafaigaluega faʻaonaponei e pei o SAST ma le mata'ituina o le taimi e fa'agaoioia ai e mafai ai e le au atia'e ona aveese vaivaiga ma puipuia polokalame i le taimi moni.
Aua le faatali mo le isi soliga - Tusi se faʻataʻitaʻiga ma suʻesuʻe fofo a Xygeni e faʻamalosia ai ou puipuiga i le asō.
