Ho Ngola Mangolo Sebakeng se Seng: Ke Eng le Mokhoa oa ho Lula U Sireletsehile

Cross-Site Scripting (XSS) ke e 'ngoe ea likoli tse kotsi ka ho fetisisa ts'ireletsong ea lisebelisoa tsa webo, e amang 40% ea lits'ebetso tsa webo lefatšeng ka bophara. Cross-Site Scripting ke eng, hona ke hobane'ng ha e ntse e tsoela pele ho baka kotsi e kholo hakaale? XSS e bakile tse ling tsa litlolo tse kholo ka ho fetisisa tsa data, ho kenyeletsoa le tsa British Airways le eBay, e pepesetsa basebelisi ba limilione bosholu ba data, ho utsuoa ha liakhaonto le bosholu. Ho totobatsa, ho utloisisa hore na Cross-Site Scripting ke eng, mefuta ea litlhaselo tsa Cross Site Scripting, le litsela tse molemohali tsa ho li thibela ke tsa bohlokoa bakeng sa ho boloka lits'ebetso tsa sejoale-joale tsa webo li sireletsehile.

Cross-Site Scripting (XSS) ke eng?

Cross-Site Scripting (XSS) ke bofokodi bo dumellang bahlaseli ho kenya dingolwa tse kotsi maqepheng a marang-rang a tshepahalang. Ha basebedisi ba sebelisana le maqephe ana, dingolwa di sebetsa ho dibatli tsa bona. Ka lebaka lena, XSS e ka lebisa dikotsing tse kgolo, tse kang:

• Bosholu ba BoitsebisoBahlaseli ba utsoa tlhahisoleseling ea lekunutu joalo ka li-cookie tsa seboka le login mangolo a bopaki.
• Ho tlatlapuoa ha Session: Bahlaseli ba fumana phihlello ho mananeo a basebelisi ba mafolofolo mme ba a etsisa.
• Liketso tse sa Lumelloang: Lingoloa tse kotsi li etsa liketso ntle le tsebo ea mohlaseluoa.

Haholo-holo, bofokodi ba XSS hangata bo hlaha ka lebaka la netefatso e fokolang kapa tlhoekiso e mpe ea lintho tse kenngoang ke basebelisi. Ho tseba hore na Cross-Site Scripting ke eng ho thusa mekhatlo ho thibela litlhaselo tsena le ho sireletsa basebelisi ba eona.

Mefuta ea Litlhaselo tsa Cross Site Scripting le Mehlala ea Lefatše la Sebele

Litsebi tsa ts'ireletso li arola litlhaselo tsa Cross Site Scripting ka mefuta e meraro e meholo: XSS e bolokiloeng, e bonts'itsoeng, le DOM-Based. Mofuta o mong le o mong o shebane le mefokolo e fapaneng lits'ebetsong tsa webo, e leng se lebisang liphellong tse ikhethang. Ho hlalosa haholoanyane, mona ke kamoo mofuta o mong le o mong o sebetsang kateng le mehlala ea tšenyo eo li ka e bakang.

Ho Ngola Mangolo a Sebaka se Tšeletseng ho Bolokileng (XSS)

XSS e bolokilweng, e tsejoang hape e le XSS e sa feleng, e etsahala ha dingolwa tse kotsi di bolokwa ka ho sa feleng ho seva. Mohlala, dingolwa tsena di ka bolokwa polokelongtshedimosetsong kapa profaeleng ya mosebedisi. Neng kapa neng ha motho a fihlella mohlodi o senyehileng, sengolwa se sebetsa ka bosona.

Bahlaseli ba atisa ho sebelisa Stored XSS ho shebana le li-platform tse nang le sephethephethe se phahameng. Hobane mojaro o kotsi o ntse o le ho seva, o ka ama basebelisi ba likete pele o fumanoa.

Mohlala oa Lefatše la 'Nete: eBay (2014)

Ka 2014, bahlaseli ba ile ba kenya JavaScript e kotsi ho Lethathamo la lihlahisoa tsa eBay. Sena se etsahetse hobane eBay ha ea ka ea hloekisa lintho tse kenngoang ke basebelisi ka nepo. Neng kapa neng ha basebelisi ba etela lenane le amehileng, li-browser tsa bona li ne li sebelisa sengoloa se kotsi ka ho sa tsebe.

Liphello:

• Bahlaseluoa ba ile ba fetisetsoa libakeng tsa phishing, moo bahlaseli ba ileng ba utsoa teng login mangolo a bopaki le lintlha tsa poraefete.
• eBay e ile ea senyeha haholo ka lebaka la ho hloka tšireletso e lekaneng.
• Ka lebaka leo, nyeoe ena e bontšitse tlhoko ea bohlokoa ea netefatso e matla ea ho kenya le ho beha leihlo ka nako ea sebele.

Sengoloa sa Sebaka se Fetotsoeng se Refiloeng (XSS)

XSS e bonts'itsoeng e etsahala ha lingoloa tse kotsi li kentsoe ho URL kapa ho kenngoa ha foromo 'me li bonahala karabelong ea seva. Mofuta ona oa tlhaselo ea Cross Site Scripting hangata o fanoa ka lihokelo tsa phishing 'me oa e phetha hang ha motho ea hlasetsoeng a tobetsa sehokelo.

Ka nako e ts'oanang, Reflected XSS e ama bahlaseluoa ka bomong empa e ntse e ka lebisa liphellong tse tebileng.

Mohlala oa Lefatše la 'Nete: British Airways (2018)

British Airways e bile le phihlelo ea Bofokoli ba XSS bo bonts'itsoeng ka 2018. Bahlaseli ba entse lihokelo tsa phishing tse nang le lingoloa tse kentsoeng, ba qhekella basebelisi hore ba li tobetse.

Liphello:

• Masholu a utsoitse tlhahisoleseling ea bohlokoa ea bareki, ho kenyeletsoa mabitso, liaterese le lintlha tsa karete ea tefo.
• Bareki ba fetang 400,000 ba ile ba ameha, e leng se ileng sa fella ka kotlo ea GDPR ea £20 milione bakeng sa British Airways.
• Ka kakaretso, tlōlo ena e totobalitse likotsi tsa lichelete le tsa molao tse amanang le bofokoli ba Cross-Site Scripting.

Ho Ngola Mangolo a Sebaka se Tšeletseng ho Thehiloe ho DOM (XSS)

XSS e Thehiloeng ho DOM e etsahala ha bahlaseli ba laola sebatli sa bona Tokomane Object Model (DOM) ho e-na le ho shebana le bofokoli ba lehlakore la seva. Tlhaselo ena e feta netefatso ea lehlakore la seva ka botlalo 'me hangata e sebelisa mekhoa e sa sireletsehang ea JavaScript joalo ka innerHTML or document.write().

Ho etsa mohlala, mohlala oa XSS e Thehiloeng ho DOM ke ona.

Mohlala oa Lefatše la 'Nete: GitHub (2020)

Ka 2020, bahlaseli ba ile ba sebelisa hampe Bofokoli ba XSS bo Thehiloeng ho DOM tshebetsong ya ho batla ya GitHub. Ba kentse dingolwa tse kotsi ka hara di-input tsa dipotso tsa ho batla, ba feta tshireletso ya seva.

Liphello:

• Bahlaseli ba utsoitse li-cookie tsa session le li-token tsa netefatso, ba lumella phihlello e sa lumelloang libakeng tsa polokelo.
• GitHub e ile ea lokisa bothata kapele, empa nyeoe e bontšitse likotsi tse bakoang ke bofokoli ba lehlakoreng la bareki.