קראָס-סייט סקריפּטינג (XSS): וואָס עס איז און ווי אַזוי עס צו פאַרמייַדן

קראָס-סייט סקריפּטינג (XSS) איז אַ שוואַכקייט וואָס לאָזט אַטאַקערס אַרײַנשפּריצן בייזע סקריפּטן אין פֿאַרטרויטע וועב זייַטלעך, וואָס לויפֿן דאַן אין דעם בלעטערער פֿון יעדן וואָס באַזוכט עס. עס איז הינטער עטלעכע פון ​​די גרעסטע בריטשעס אין די לעצטע זכּרון, אריינגערעכנט בריטיש עירווייז און אי-ביי, אויסשטעלן מיליאנען באנוצער צו דאטן גנייווע, קאנטע כיידזשעקינג, און שווינדל. די גייד באהאנדלט די דריי הויפט טיפן פון XSS, רעאלע ביישפילן פון יעדן, און ווי אזוי זיי צו פארמיידן.

וואָס איז קראָס-סייט סקריפּטינג (XSS)?

קראָס-סייט סקריפּטינג (XSS) איז אַ שוואַכקייט וואָס ערלויבט אַטאַקירער צו אַרייַנשפּריצן שעדלעכע סקריפּטן אין טראַסטיד וועב בלעטער. ווען באַניצער ינטעראַקט מיט די בלעטער, לויפן די סקריפּטן אין זייערע בראַוזערז. צוליב דעם קען XSS פירן צו גרויסע ריזיקעס, אַזאַ ווי:

• דאַטאַ גנייוועאַטאַקערס גנבענען פּריוואַטע אינפֿאָרמאַציע ווי סעסיע קיכלעך און login קראַדענשאַלז.
• סעסיע כיידזשאַקינגאַטאַקערס באַקומען צוטריט צו אַקטיווע באַניצער סעסיעס און מאַכן זיך ווי זיי.
• נישט-ערלויבטע אַקציעסבייזוויליגע סקריפּטן פירן אויס אַקציעס אָן דעם קרבן'ס וויסן.

XSS שוואַכקייטן שטאַמען טיפּיש פֿון שלעכטער וואַלידאַציע אָדער סאַניטיזאַציע פֿון באַניצער אינפֿאָרמאַציע. פֿאַרשטיין ווי די אַטאַקעס אַרבעטן איז דער ערשטער שריט צו זיי פֿאַרהיטן.

טיפן פון קראָס סייט סקריפּטינג אַטאַקס און פאַקטיש-וועלט ביישפילן

זיכערהייט עקספּערטן קאַטעגאָריזירן קראָס סייט סקריפּטינג אַטאַקעס אין דריי הויפּט טיפּן: סטאָרד, רעפלעקטעד, און DOM-באַזירט XSS. יעדער טיפּ צילט אויף אַנדערע שוואַכקייטן אין וועב אַפּלאַקיישאַנז, וואָס פירט צו יינציקע קאַנסאַקווענסאַז. צו דערקלערן ווייטער, דאָ איז ווי יעדער טיפּ אַרבעט און ביישפילן פון די שעדיקן וואָס זיי קענען פאַרשאַפן.

געהיט קראָס-סייט סקריפּטינג (XSS)

סטאָרד XSS, אויך באַקאַנט ווי פּערסיסטענט XSS, פּאַסירט ווען שעדלעכע סקריפּטן ווערן פּערמאַנענט געהיט אויף אַ סערווער. למשל, די סקריפּטן קענען זיין געהיט אין אַ דאַטאַבייס אָדער באַניצער פּראָפיל. ווען איינער אַקסעסט די קאָמפּראָמיטירטע רעסורס, ווערט דער סקריפּט אויטאָמאַטיש עקסאַקיוטאַד.

אַטאַקירער נוצן אָפט סטאָרד XSS צו צילן פּלאַטפאָרמעס מיט אַ סך טראַפיק. ווײַל די בייזע פּיילאָוד בלייבט אויפן סערווער, קען עס אַפעקטירן טויזנטער באַניצער איידער עס ווערט דעטעקטירט.

פאַקטישע וועלט בייַשפּיל: eBay (2014)

אין 2014, האבן אנפאלער אריינגעשפריצט ​​שלעכטע דזשאוואסקריפט אין eBay פּראָדוקט ליסטינגס. דאָס איז געשען ווײַל eBay האָט נישט ריכטיק גערייניקט די באַניצער־אינפּוטאַציעס. ווען באַניצער האָבן באַזוכט די באַטראָפענע ליסטינגס, האָבן זייערע בראַוזערס אומבאַוואוסטזיניק אויסגעפֿירט דעם בייזוויליקן סקריפּט.

קאָנסעקווענסעס:

• קרבנות זענען געוואָרן איבערגעפירט צו פישינג זייטלעך, וואו אַטאַקירער האָבן געגנבעט login קראַדענטשאַלז און פּריוואַטע דאַטן.
• eBay האט געליטן באדייטנדיקע שאָדן צו איר רעפּוטאַציע צוליב דעם מאַנגל אין גענוגנדיקער זיכערהייט.
• אלס רעזולטאט, האט דער פאל דעמאנסטרירט די קריטישע נויטווענדיקייט פאר א שטארקע אינפוט וואַלידאַציע און רעאַל-צייט מאָניטאָרינג.

רעפלעקטירטע קראָס-סייט סקריפּטינג (XSS)

רעפלעקטעד XSS פאסירט ווען שעדלעכע סקריפּטן ווערן איינגעבעטן אין א URL אדער פארם אינפוט און רעפלעקטירט אין דעם סערווער'ס ענטפער. די סארט קראָס סייט סקריפּטינג אטאקע ווערט טיפיש איבערגעגעבן דורך פישינג לינקס און ווערט אויסגעפירט אזוי שנעל ווי דער קרבן קליקט אויפן לינק.

אין דער זעלבער צייט, האט רעפלעקטעד XSS אפעקט אויף יחידישע קרבנות אבער קען נאך אלץ פירן צו ערנסטע קאנסעקווענצן.

פאַקטישע וועלט בייַשפּיל: בריטיש ערווייז (2018)

בריטיש עירווייז האט געהאט א רעפלעקטירטע XSS וואַלנעראַביליטי אין 2018. אטאקערס האבן געשאפן פישינג לינקס מיט איינגעבויטע סקריפטן, און זיי האבן פארפירט באנוצער צו קליקן אויף זיי.

קאָנסעקווענסעס:

• העקערס האָבן געגנבעט סענסיטיווע קונה אינפאָרמאַציע, אַרייַנגערעכנט נעמען, אַדרעסן און צאָלונג קאַרטל דעטאַלן.
• איבער 400,000 קאסטומערס זענען אפעקטירט געווארן, וואס האט געפירט צו א £20 מיליאן GDPR קנס פאר בריטיש ערווייז.
• אין אלעם, האט דער דורכברוך אונטערגעשטראכן די פינאנציעלע און לעגאלע ריזיקעס פארבונדן מיט קראָס-סייט סקריפּטינג שוואַכקייטן.

DOM-באזירט קראָס-סייט סקריפּטינג (XSS)

DOM-באזירט XSS פאסירט ווען אנפאלער מאַניפּולירן דעם בלעטערער'ס דאָקומענט אָבדזשעקט מאָדעל (DOM) אנשטאט צו צילן סערווער-זייט שוואכקייטן. די אטאקע בייפּאַסט סערווער-זייט וואַלידאַציע אינגאנצן און נוצט אָפט אויס אומזיכערע דזשאַוואַסקריפּט מעטאָדן ווי innerHTML or document.write().

צו אילוסטרירן, דאָ איז אַ בייַשפּיל פון DOM-באַזירט XSS אין אַקציע.

רעאל-וועלט ביישפּיל: גיטהאב (2020)

אין 2020, האבן אנפאלער אויסגענוצט א DOM-באזירטע XSS וואַלנעראַביליטי אין גיטהאב'ס זוכפונקציאנאליטעט. זיי האבן אריינגעלייגט בייזוויליגע סקריפטן אין זוכ-אנפֿרעגן, בייפּאַסנדיק סערווער שוץ.

קאָנסעקווענסעס:

• אַטאַקערס האָבן געגנבעט סעסיע קיכלעך און אויטענטיפיקאַציע טאָקענס, דערלויבנדיק נישט-אָטעריזירטע צוטריט צו ריפּאַזאַטאָריעס.
• גיטהאב האט גלייך פארראכטן דעם פראבלעם, אבער דער פאל האט דעמאנסטרירט די ריזיקעס וואס ווערן געשטעלט דורך קליענט-זייט שוואכקייטן.