Cross-Site Scripting (XSS) ke bofokodi bo dumellang mohlaseli ho kenya dingolwa tse kotsi leqepheng la webo, dingolwa tse tlang ho sebetsa ho sebatli sa mosebedisi e mong jwalo ka ha eka ke tsa moo. E dula e bewa maemong a OWASP Holimo ho 10, 'me e ntse e le e 'ngoe ea litsela tse tloaelehileng haholo tseo bahlaseli ba utsoang data ea seboka, ba utsoang liakhaonto, kapa ba senya tšepo ea sesebelisoa ho basebelisi ba sona ka lenyele.
SAST Lisebelisoa ke e 'ngoe ea litsela tse atlehang ka ho fetisisa tsa ho tšoara bofokoli bona esale pele, ho skena khoutu ea mohloli bakeng sa mekhoa e nepahetseng e lumellang XSS ho feta, pele khoutu eo e fihla tlhahisong. Posong ena: mefuta e meraro e tloaelehileng ea XSS, hore na e shebahala joang khoutung ea 'nete, le hore na joang SAST lisebelisoa (hammoho le mekhoa e seng mekae ea ho ngola khoutu) li li koale pele li romelloa.
Mathata a XSS ke afe hona hobaneng o lokela ho tsotella?
Bofokodi ba XSS bo etsahala ha sesebelisoa se nka tlhahiso e sa tšepahaleng, ntho eo mosebelisi a e thaepang, a e beha, kapa a e fetisetsa ho URL, 'me a e khutlisetsa leqepheng ntle le ho e netefatsa kapa ho e phonyoha pele. Ha seo se etsahala, mohlaseli a ka kenya sengoloa ka sekhukhu ho fapana le mongolo o tloaelehileng, 'me sebatli ha se na mokhoa oa ho bona phapang: se e tsamaisa feela, ka ts'epo le litumello tse tšoanang le tse ling kaofela tsa leqephe.
Ke sona se etsang hore XSS e be kotsi leha kokoana-hloko e ka tlase e le nyane hangata. Tšimo e le 'ngoe ea ho kenya e sa hloekang e ka lumella mohlaseli ho utsoa li-cookie tsa seboka le ho utsoa ak'haonte e keneng, ho fetisetsa basebelisi ka lenyele leqepheng la phishing, ho ngola likonopo tsa konopo, kapa ho ngola bocha litaba tseo moeti a li bonang, tsohle ntle le ho ama li-server tsa hau ka kotloloho. Bofokoli bo phela ka botlalo ka tsela eo sebatli se tšepang tlhahiso ea sesebelisoa sa hau ka boeona.
Hape ke ka lebaka leo XSS e hlahang khafetsa ho OWASP Top 10: ha e hloke ketane e rarahaneng ea exploit, e hloka feela tlhahiso e le 'ngoe e hlokomolohuoang, 'me radius ea blast e atolohela ho mosebelisi e mong le e mong ea kenyang leqephe le amehileng.
Litlhaselo tsa XSS tse sa tsejoeng: Mefuta e meraro e tloaelehileng haholo
1. XSS e Boloketsoeng: Tšokelo e sa Feleng
XSS e bolokiloeng e jala sengoloa se kotsi ka ho sa feleng ho seva, kahoo e thunya ka bo eona bakeng sa mosebelisi e mong le e mong ea shebang leqephe le amehileng hamorao.
Bofokodi ba XSS bo bolokiloeng bo hlaha ha dingolwa tse kotsi di bolokwa ka ho sa feleng ho seva (mohlala, ka hara database) mme di kenngwa tshebetsong neng kapa neng ha mosebedisi a fihlella leqephe le amehileng.
mohlala: tšimo ea maikutlo e amohelang tlhahiso ea mosebelisi e sa netefatsoang:
<script defer src="data:text/javascript;base64,YWxlcnQoJ1N0b3JlZCBYU1MnKQ=="></script>
2. XSS e Bonahalitsoeng: E Finyelloa Hona Joale
XSS e bonts'itsoeng e phela ka har'a sehokelo se le seng se entsoeng ka letsoho, sengoloa se sebetsa feela hang ha motho ea hlasetsoeng a se tobetsa, hangata ka phishing kapa boenjiniere ba sechaba.
XSS e bonts'itsoeng e etsahala ha lingoloa tse kotsi li kentsoe ho li-URL 'me li etsoa ha mosebelisi a sebelisana le sehokelo, hangata se fanoang ka phishing kapa boenjiniere ba sechaba.
mohlala:
https://example.com/search?q=<script defer src="data:text/javascript;base64,YWxlcnQoJ1JlZmxlY3RlZCBYU1MnKQ=="></script>
3. XSS e Thehiloeng ho DOM: Litlhaselo tse Patiloeng ho Sebatli
XSS e thehiloeng ho DOM ha e ame seva ho hang, sengoloa se kotsi se sebetsa ka lehlakoreng la moreki ka botlalo, ka JavaScript e sebetsanang hampe le dikahare tsa leqephe.
Mofuteng ona, dingolwa tse kotsi di sebedisa bofokodi bo ka lehlakoreng la moreki la JavaScript ho fetola Tokomane ya Ntho (DOM).
mohlala: sekotwana sa JavaScript se fetolelang ka mokhoa o feto-fetohang tlhahiso ea mosebelisi e sa hloekang:
var input = location.hash.substring(1);
document.getElementById("output").innerHTML = input; // Vulnerable
Na o labalabela ho tseba hore na ke dipaterone tse kae tse seng di ntse di le teng ho codebase ya hao? SAST ho hlahloba folakha e bolokiloeng, e bonts'itsoeng, le XSS e thehiloeng ho DOM e beha likotsi ka bo eona, pele li fihla ho pull request.
Joang SAST Lisebelisoa li Emisa XSS litseleng tsa eona
Teko ea Ts'ireletso ea Static (SAST) disebediswa di bohlokwa haholo ho hlwayeng bofokodi ba XSS qalong ya Potoloho ya Bophelo ba Ntshetsopele ya Software (SDLC).
Melemo Key
Mathata a ho Tšoasa Litlhapi Qalong ea Nts'etsopele
SAST lisebelisoa li hlahloba khoutu ea mohloli bakeng sa lipaterone tse kotsing pele sesebelisoa se sebelisoa.
Mohlala oa bofokoli bo tšoailoeng:
document.getElementById("output").innerHTML = userInput; // Vulnerable
Mokhoa o mong o sireletsehileng:
document.getElementById("output").textContent = sanitize(userInput); // Secure
Hlahloba Codebase eohle
mokhoa oa kajeno oa SAST Lisebelisoa ha li sekaseke khoutu e ikhethileng feela; li boetse li hlahloba mekhoa e itšetlehileng ka eona le lilaebrari tsa motho oa boraro, li lemoha likotsi tse patiloeng.
Kopanya ka ho se thekesele le CI/CD
SAST lisebelisoa li hlahloba ka bohona bofokoli ba XSS ho pull requests le ho thibela khoutu e sa sireletsehang hore e se ke ea kopanngoa.
Tsepamisa Maikutlo ho Lintho Tsa Bohlokoa Haholo
SAST Lisebelisoa li beha litokiso pele ka ho lekola tšebeliso le boima ba bofokoli, e leng se nolofalletsang lihlopha ho rarolla mathata a bohlokoa ka ho fetisisa pele.
Kamoo Xygeni e U Thusang ho Hlōla Ntoa Khahlanong le XSS
Xygeni e kopanya tlhahlobo e sa fetoheng, tokiso e tsamaisoang ke AI, le ponahalo ea ketane ea phepelo ho koala sekheo pakeng tsa ho fumana bofokoli ba XSS le ho bo lokisa. Mokhoa oa ho etsa sena ke ona:
- Code Security (SAST): E hlahloba khoutu ea mokha oa pele bakeng sa XSS le liphoso tse ling tsa ente joalokaha e ngotsoe, e li fumana pele e sebelisoa. Ho OWASP Benchmark, Xygeni-SAST o fumana sekgahla sa nnete sa 100% ha ho fumanwa XSS ka dipoelo tse fokolang tsa bohata.
- Ho Lokisa ka Bohona ha AI: E lokisa bofokodi ba XSS bo tšoailoeng hang-hang ka litokiso tse loketseng moqapi, e leng se hlahisang pull request ka mokhoa o mong o sireletsehileng o tsamaellanang le codebase ea hau, ha ho hlokahale hore ho lokisoe ka letsoho.
- Tšireletso ea Malware: E hlokomela ho itšetleha le lilaebrari tsa batho ba bang bakeng sa khoutu e kentsweng kapa e senyehileng, e le hore paterone e kotsing e ipatileng ka har'a sephutheloana sa mohloli o bulehileng e se ke ea feta tlhahlobo ea hau ea khoutu ea batho ba pele.
- IDE le CI/CD Kopano: Lifolakha li tsoa ka ho toba ho IDE ha khoutu e ntse e ngoloa, 'me li fana ka litlhaloso pull requests e ka iketsahalla ho pholletsa le GitHub, GitLab, Bitbucket, Azure DevOps, le Jenkins, kahoo khoutu e kotsing ha e kopanywe qalong.
Haha Likopo tse Tieang: Malebela a ho Boloka Scripting ea Libaka Tse Fapaneng
Ho sireletsa lits'ebetso tsa hau haholoanyane, kenya tšebetsong mekhoa ena hammoho le SAST lisebelisoa:
- Hloekisa Litlhoko tsa Basebelisi: Sebelisa lilaeborari tse kang DOMPurify bakeng sa ho hloekisa ka matla.
- Liphetho tsa Encode: Kamehla kenya khoutu ya data e fetohang pele o e kenya ho sebatli.
- Kenya Ts'ebetsong Maano a Tšireletso ea Litaba (CSPs): Thibela ho kenngwa tshebetsong ha sengoloa ho mehlodi e tshepahalang.
- Etsa Hore Litlhahlobo tsa Khoutu li Tsoele Pele, Eseng Nako le Nako: Ho e-na le ho hlophisa litlhahlobo ka letsoho, sebelisa Xygeni's SAST ho skena e le pre-commit hokela kapa ka ho toba ho CI/CD pipeline (GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins), kahoo e mong le e mong commit e hlahlojoa ka bohona, 'me khoutu e sa sireletsehang ha e fihlelle ho kopanngoa.
Na u se u loketse ho sireletsa likopo tsa hau khahlanong le XSS?
Bofokodi ba XSS ha boa lokela ho sokela ts'ireletso ea sesebelisoa sa hau. Ho utloisisa hore na li sebetsa joang, ho li tšoara ka SAST lisebelisoa, le ho latela mekhoa e sireletsehileng ea ho ngola khoutu ho ka fokotsa ho pepesehela ha hao hoo e ka bang lefela pele mohlaseli a ka fumana sekheo.
At Xygeni, re hahetsoe ho tšoara bofokoli bona esale pele, ho beha pele tse bohlokoa, le ho li thibela ho ba haufi le uena pipelineka botlalo.
Beheleta modumo, kapa qala ho skena khoutu ea hau mahala kajeno.
