XSS یا تزریق کد چيست؟

[caption id="attachment_387" align="aligncenter" width="276"]XSS یا تزریق کد XSS یا تزریق کد[/caption]

Scripting يكي از روش هاي حمله هكرها به سايت ها است و يك نقص امنيتي محسوب مي شود. البته در اين حمله کدهای سمت کلاینت از قبیل جاوا اسکریپت به سایت تزریق می شوند و هدف اصلي هكرها كاربراني هستند كه به سايت مراجعه كرده اند. در حقيقت هكرها در اين نوع از حمله اطلاعات كاربران يك سايت را بدون اينكه خودشان آگاهي داشته باشند، به سرقت مي برند.

اگرچه مخفف Cross Site Scripting، CSS مي باشد اما از آنجا كه CSS به عنوان مخفف Cascading Style Sheets نيز مي باشد، به منظور جلوگيري از بروز اشتباه، XSS را به Cross Site Scripting نسبت داده اند.

در XSS هكرها كدهاي خود را جايگزين كدهاي صفحات وب پويا مي كنند. اين حمله اغلب هنگامي صورت مي گيرد كه يك سايت جهت درخواست اطلاعات كاربر از Query string استفاده مي نمايد. كدهائي كه جايگزين كدهاي صفحات پويا مي شوند، بر روي كامپيوتر كاربر اجرا مي شوند. اين كدها مي توانند اطلاعات با اهميت موجود در كامپيوتر او را سرقت ببرند و به صورت مخرب بكار گيرند.

[caption id="attachment_388" align="aligncenter" width="200"]XSS یا تزریق کد XSS یا تزریق کد[/caption]

به عنوان مثال: ممكن است پس از ورود اطلاعات يك كاربر مثل username و password در سايت يكي از بانكها كه در برابر XSS محافظت نشده، اين اطلاعات توسط هكر دزديده شود ( البته بدون آگاهي كاربر ) و آنگاه حساب بانكي كاربر مورد دستبرد واقع شود.

با اینکه بسیاری از وب سایت ها، فیلترهایی برای شناسایی پست های حاوی XSS دارند اما نمی توان همه انواع مختلف XSS را فیلتر نمود. به این ترتیب می توان گفت سایت هایی که اقدام به دریافت اطلاعات از کاربران می کنند، مستعد حملات XSS هستند.

يكي از روش هاي دستيابي به اطلاعات كاربر بدست آوردن cookieاي است كه سايت ها پس از استفاده كاربر در سيستم او ايجاد و ذخيره مي نمايند، تا در ورودهاي بعدي از اطلاعات ذخيره شده در آن استفاده نموده و به كاربر اجازه ورود دهند. با دستيابي به اين فايل در حقيقت هكر به اطلاعات كاربر دست پيدا نموده و مي تواند از آنها استفاده هاي سوئي نمايد.

انواع حملات XSS: انعکاس در این نوع از حمله، هکر یک حفره امنیتی و راهی برای استفاده از آن پیدا می نماید تا کاربر ناشناس را به یک برنامه وب دارای آسیب پذیری XSS هدایت کند. در این هنگام حمله انجام شده است. این حمله به وسیله یک سری از پارامترهای URL که با URL ارسال می شوند، انجام می شود. هکر URL مخرب را با پارامترهای موجود در URL برای کاربر ارسال می کند. این URL معمولا از طریق ایمیل، وبلاگ ها یا انجمن ها و یا هر روش ممکن دیگری برای کاربر فرستاده می شود. شاید تصور شود که کاربر بر روی لینک های ناشناس کلیک نمی کند، بنابراین مشکلی برای او پیش نمی آید. اما باید توجه نمود که با استفاده از JavaScript حتی با بازنمودن یک ایمیل و حتی مشاهده یک سایت، حمله XSS انجام می شود. به علاوه در این نوع حمله معمولا URL ها با متدهایی مثل Hex و یا هر متد کدگذاری دیگری که URL ها را بصورت معتبر نمایش می دهد، کدگذاری می شوند. ذخیره در این نوع حمله، هکر کدهای مخربی را که یک کاربر در آینده آنها را فراخوانی می کند ذخیره می نماید. در واقع یک کاربر ندانسته به کدهای مخرب برخورد می نماید و کدهای مخرب اجرا می شوند. مسئله اینجاست که هنگام ذخیره سازی کدها و همچنین هنگام واکشی آنها اعتبارسنجی ورودی ها و خروجی ها انجام نشده است. نکته حائز اهمیت این است که حتی درصورت اعتبارسنجی کدها در هنگام ذخیره نمودن آنها، چک نمودن خروجی ها و اعتبار سنجی آنها نیز لازم است. چراکه به این ترتیب کدهای مخرب ناشناخته در طی فرایند اعتبار سنجی ورودی، کشف خواهند شد. يك هكر با بهره گيري از XSS مي تواند به انجام اعمالي از قبيل موارد زير اقدام نمايد: تغيير تنظيمات كاربر

  • ربودن حسابها
  • ربودن كوكي ها
  • اعمال كدهاي تخریب کننده
  • لینک به سايت هاي مخرب
  • راه اندازي تبليغات كاذب
  • راه هاي متداولي كه كاربران از طريق آنها مورد حمله قرار مي گيرند، عبارتند از:
  • باز نمودن يك صفحه وب
  • كليك نمودن بر روي لينك
  • باز نمودن ايميل

XSS یا تزریق کد

جلوگيري از XSS ساده ترين راه جلوگيري از XSS، اضافه نمودن كدي به برنامه تحت وب است تا باعث شود از برخي تگ هاي فرمان در ورودي پويا چشم پوشي شود. تگ هاي قابل استفاده در XSS عبارتند از:

  • <script>
  • <object>
  • <applet>
  • <embed>
  • <form>

به طور كلي جهت جلوگیری از XSS باید استراتژی های مختلفی درنظر گرفته شود: استفاده از مرورگرهاي وب امن: مرورگرهایی مثل Firefox و Opera از امنیت بالاتری (نه 100درصد) نسبت به IE برخوردار هستند. اینترنت اکسپلورر از جمله مرورگرهایی است که نقاط ضعف زیادی دارد و بسیار در معرض خطر است. بكارگيري ابزارهائي كه اجراي كدهای Script،Flash و هر کد مخرب دیگری را محدود مي كنند. مثل NoScript عدم كليك بر روي link ها و ايميل هاي ناشناس : سعی کنید آدرس وب سایت هایی که قصد مشاهده آنها را دارید، مستقیما در نوار آدرس مرورگر وارد نمایید. استفاده از توابعی که عملیات پاکسازی کدها را انجام می دهند. مثل htmlentities در زبان PHP (فیلتر نمودن ورودی های کاربر و همچنین کدهای خروجی) زبانهاي متداول مورد استفاده در XSS عبارتند از: JavaScript ، VBScript ، HTML ، Perl ، C++ ، ActiveX و Flash

1392/12/7       00000             XSS یا تزریق کد چيست؟       مطالب آموزشی , هک و نفوذ



پایگاه اطلاع رسانی FreeP30.ir , پایگاه اطلاع رسانی تولید کننده نقشه سایت , پایگاه اطلاع رسانی ابزارهای مدیریت و ویرایش تصویر و عکس آنلاین بصورت رایگان , پایگاه اطلاع رسانی آقای گودرزی , پایگاه اطلاع رسانی دانشجویان رشته روانشناسی تربیتی دانشگاه آزاد واحد علوم تحقیقات تهران , پایگاه اطلاع رسانی روندها Trand.ir , پایگاه اطلاع رسانی دانشجویان دانشگاه مجازی فاران , پایگاه اطلاع رسانی اطلس ها , پایگاه اطلاع رسانی آقای محمودپور , پایگاه اطلاع رسانی اولین همراه , پایگاه اطلاع رسانی دی جی 115 , پایگاه اطلاع رسانی اخترشناسان ایران , پایگاه اطلاع رسانی مدیریت و دسترسی به آدرسها و لینکهای اینترنتی , پایگاه اطلاع رسانی نرم افزارهای جغرافیایی , پایگاه اطلاع رسانی مدیریت پیامکهای انبوه , پایگاه اطلاع رسانی دی جی 2000 , پایگاه اطلاع رسانی کلیل ، کلیل فارس ، شهر اقلید , پایگاه اطلاع رسانی ابزارهای فناوری اطلاعات , پایگاه اطلاع رسانی ابزارهای مدیریت محتوای وردپرس , پایگاه اطلاع رسانی فروش محصولات فرهنگی , پایگاه اطلاع رسانی نیستی؟ , پایگاه اطلاع رسانی 42152.ir , پایگاه اطلاع رسانی بررسی رتبه و رنک سایت , پایگاه اطلاع رسانی پدیده شیراز , سامانه مدیریت محتوای parcms.ir , پایگاه اطلاع رسانی انجمن فناوری اطلاعات , پایگاه اطلاع رسانی شهید شیرودی , پایگاه اطلاع رسانی مدیریت ارسال و دریافت پیامک انبوه , پایگاه اطلاع رسانی نجوم و اختر شناسی , پایگاه اطلاع رسانی همراه اولی ، مدیریت پیامک و SMS , پایگاه اطلاع رسانی پشتیبانی از خدمات و سرویسهای ارائه شده به شما , پایگاه اطلاع رسانی ArcObject.ir , پایگاه اطلاع رسانی تب فا TabFa.ir , پایگاه اطلاع رسانی همیار اس ام اس و پیامک های انبوه , پایگاه اطلاع رسانی حیدرنیا , پایگاه اطلاع رسانی 88080.ir , پایگاه اطلاع رسانی آقای کندی , پایگاه اطلاع رسانی با فرهنگ , پایگاه اطلاع رسانی بهترین هاست , پایگاه اطلاع رسانی خوابگاه های دانشجویی و کارمندی , پایگاه اطلاع رسانی آرک مپ ArcMap.ir , پایگاه اطلاع رسانی بهترین گروه و انجمن , پایگاه اطلاع رسانی FreePC.ir , گروه پرهاست , پایگاه اطلاع رسانی درخشان , پایگاه اطلاع رسانی پرهام حیدرنیا , پایگاه اطلاع رسانی آقای حاج سلمانی
تبلیغ گروه فنی مهندسی پرهاست , , تبلیغ گروه فنی مهندسی پرهاست
Copyright © 2002-2017, hamyaarsms.ir. Design and Hosting by ParHost All Rights Reserved.
2228