Siteler Arası Komut Dosyası (XSS): Nedir ve nasıl düzeltilir?
En yaygın siber güvenlik tehditlerinden biri olan Cross -Site senaryoları (XSS) 2019 yılında büyük şirketlerin yaklaşık% 75’ine saldırdı. Buna ek olarak, tüm siber saldırıların yaklaşık% 40’ı XSS güvenlik açığını hedeflemek için gerçekleştirildi. Cross -Site senaryoları, eBay, Google, Facebook ve Twitter gibi web devleri tarafından işletilen web sitelerini etkiledi. Ancak çapraz yer senaryoları yeni bir siber alan tehdidi değildir. Aslında, XSS saldırıları neredeyse web’in başlangıcından beri var olmuştur. XSS saldırılarını önlemenize yardımcı olmak için, bu kılavuz çapraz alan komut dosyaları hakkında bilmeniz gereken her şeye odaklanır. Bu kılavuzu okuduktan sonra, çapraz alan komut dosyalarının nasıl çalıştığı ve WordPress sitenizi nasıl güvence altına alabileceğiniz hakkında daha iyi bir fikir edineceksiniz.
Siteler arası komut dosyası (XSS) nedir?
JavaScript web topluluğu arasında çok popülerdir, çünkü web sayfalarında neredeyse her şeyi yapmanıza izin verir.Ve o zaman sorunlu hale geliyor.Siber suçlular, web sayfalarınızın arkasına girmek ve tehlikeli komut dosyaları eklemek için JavaScript’i kullanabilir.Siteler arasında komut dosyası nasıl çalışır?WordPress sitesinde XSS saldırıları yapmak için siber uzay suçlularının iki yolu vardır.Kullanıcı girişinden yararlanabilir veya aynı başlangıç politikalarını yok sayabilirler.Çapraz yerdeki komut dosyalarını daha iyi anlamak için iki yönteme bakalım.Kullanıcı girişini manipüle etmek Siber alan suçlularının XSS saldırılarını gerçekleştirmesinin en yaygın yolu kullanıcı girdisinden yararlanmaktır.Çoğu WordPress web sitesi, arama bıçakları, yorum formları, oturum açma sayfaları ve iletişim formları gibi kullanıcı giriş alanlarına sahiptir.Giriş sütunu genellikle web sitenizde desteklenen WordPress eklentisi veya JavaScript tarafından etkinleştirilir.
Sorun, WordPress’in% 100 güvenli eklentileri ve temaları değildir ve birçoğu, gerçekte XSS’nin güvenlik açığı vardır. Bunun sizin için anlamı, siber alan suçlularının kötü faaliyetler yürütmek için girdi alanındaki WordPress güvenlik açığından yararlanabilmesidir. İdeal olarak, site arama çubuğu (veya diğer kullanıcı giriş alanları) giriş olarak yalnızca komutlar değil, sıradan metin almalıdır. Ancak WordPress, bilgisayar korsanlarının yürütme kodunu giriş alanına girmesine ve veritabanına göndermesine olanak tanıyan bir kullanıcı giriş güvenlik açığı vardır. Aynı menşe politikayı aktarmak Aynı menşe ilkesi, başka bir web sayfasından bilgi almak için bir sayfayı sınırlar. Bu ilkeye dayanarak, web tarayıcısı, ilk web sayfasındaki komut dosyasının yalnızca komut dosyası aynı orijinli ise ikinci web sayfasındaki verilere erişmesine izin verir. Bu, istek çapraz yerinde bir istek bulunmamasına yardımcı olur. Politika, aynı tarayıcıda bir Facebook sayfası ve çevrimiçi bankacılık açarsanız, her iki web sitesinin de birbirleriyle bilgi paylaşamayacağını belirtir. Ancak, birkaç Facebook sekmesini açarsanız (aynı kökene sahip), sekme komut dosyalarını ve diğer verileri değiştirebilir.
Aynı menşe politikaları ve siteler arası talebi önlemek için alınan diğer güvenlik önlemlerinin yanı sıra, siber alan suçluları bir çerez oturumu kullanarak politikanın üstesinden gelmenin yollarını buldular. Bu, bir tarayıcıyı her açtığınızda, sizi bir web sitesi kullanıcısı olarak doğrulamak ve bir sayfadan diğerine sorunsuz bir şekilde geçmenize yardımcı olmak için bir çerez oturumu üretir. Çerez Oturumları Giriş Kimlik Bilgileri (WordPress Siteniz için dahil), kredi kartı bilgileri, gönderim ayrıntıları ve diğer hassas verileri saklar. İşte böyle çalışıyor. Diyelim ki, çevrimiçi bankacılık hesabınıza girmek istiyorsunuz. Bir web sitesi açtığınızda çerez oturumu oluşturulur. Bir oturum çerezi için değilse, sayfaları her değiştirmek istediğinizde çevrimiçi bankacılık hesabınıza gitmelisiniz. Nadiren kullanıcının tarayıcısının bir güvenlik açığı yoktur. Ve varsa, siber alan suçluları, çerez oturumunu çalmak için kullanıcı girişine girdikleri kodu kullanır. Bu şekilde, bilgisayar korsanları kullanıcının tarayıcısında açılan tüm web sitelerinden çerezler çalabilir. Daha sonra, bu çerez kullanıcı hesabını girmek için kullanılabilir. Çapraz yerinde komut dosyaları en yaygın yüksek riskli WordPress güvenlik açıklarından biridir. XSS saldırıları çok yaygındır, çünkü diğer güvenlik açığından farklı olarak, üstesinden gelmek için çok karmaşıktır. Doğal korumaya sahip olduğunuzda bile, çapraz alan komut dosyalarına izin veren hatalar yapmak çok kolaydır. HTML veya JavaScript’teki web sayfalarında web sitenizi çapraz alan komut dosyası saldırılarına karşı savunmasız hale getirebilecek yalnızca bir hata.
Saldırgan XSS güvenlik açığından yararlanmanın bir yolunu bulduğunda, hesap kimlik bilgilerini, finansal verileri çalabilir ve kimlik avı sahtekarlıklarını kolaylaştırabilirler. Ayrıca bilgisayar solucanlarını yayabilir veya kullanıcının bilgisayarına uzaktan erişebilirler. Ayrıca, XSS saldırıları bilgisayar korsanlarının aşağıdakileri yapmasına izin verir:
Kullanıcı hesabını kaçırma
Kötü Yazılım Yayın
Intranet uygulamalarını uzaklaştırma ve kullanma mesafesinden kullanıcı bilgisayar denetimi
XSS saldırıları genellikle SQL enjeksiyonundan daha az tehlikeli olarak görülür. Bununla birlikte, sosyal mühendislik ile birleştirildiğinde, çapraz yer senaryoları siber alan suçlularının truva atları, anahtarlama, kimlik avı, kimlik hırsızlığı ve çapraz bölgeler arası taleplerin sahteciliği dahil olmak üzere ileri ve çok tehlikeli saldırılar gerçekleştirmesine izin verir. XSS saldırısıyla savaşmak için büyük bir BT şirketi özel bir hata hediye programı başlattı. Bu program birçok kuruluş tarafından uygulanır ve senaryoda XSS güvenlik açığını bildiren kullanıcılara tazminat veya tanınma sunar. Bu şekilde şirketler, diğer geliştiricilerden hatalarını belirlemelerini isteyerek siber güvenliğe yatırım yaparlar. Google, XSS hataları göndermeyi pratik yapabileceğiniz bir oyun bile başlattı.
XSS Saldırıları Türleri Üç ana çapraz -yerinde komut dosyası saldırısı vardır: yansıtılan, depolanan ve DOM bazlı XSS. XSS’nin nasıl çalıştığı hakkında daha iyi bir bakış açısı elde etmek için, her bir güvenlik açığı XSS türüne bakalım. Saklanan XSS depolanır (Kalıcı veya Tip I), kullanıcı girişi bir veritabanında, yorumlar sütununda, ziyaretçi günlük sütunu veya diğer hedef sunucuda saklandığında saklanır (Kalıcı veya Tip I) oluşur. Ve sonra kurban, bir web uygulamasından depolanan verileri (tarayıcıda hazırlamak için güvenli hale getirilmemiştir) alabilir. Bu şekilde, bilgisayar korsanları saldırılar gerçekleştirdiğinde, yükler XSS tarayıcı filtresi tarafından görülmez ve kurbanlar etkilenen sayfayı ziyaret ederse yanlışlıkla yükleri tetikleyebilir.
Yansıtılan XSS’nin kırılganlığına yansıtılan saha arası komut dosyaları (aka-cersist olmayan veya tip II), web uygulaması arama sonuçlarında, hata mesajlarında veya diğer yanıtlarda kullanıcı girişini hemen geri yüklediğinde ortaya çıkar. Bu durumda, kullanıcı giriş verileri depolanmadan yansıtılır, böylece bilgisayar korsanlarının tehlikeli XSS komut dosyaları enjekte etmesine izin verir. Saklanan XSS’den farklı olarak, yansıtılan XSS, web sitesi ziyaretçileri yerine web sitesinin kendisini hedefler. XSS tabanlı DOM Güvenlik Açığı DOM (AKA Tip 0) dayalı XSS, HTML bölümünden ziyade DOM’da (Belge Nesne Modeli) meydana gelir. Okunan tehlikeli kod yerlerinin kaynağı, HTML’den belirli bir URL veya öğe olabilir. Siteler arası komut dosyası saldırıları nasıl önlenir?
Şimdi, XSS’nin temellerini tartıştıktan sonra, XSS saldırılarını önlemek için kanıtlanmış bir yola bakalım. WordPress sitenizi XSS saldırılarından korumanın birkaç yolu vardır. Gelişmiş teknik uzmanlığınız varsa, kullanıcı girişini doğrulamak ve temizlemek için kod görüntüleri ekleyebilirsiniz. Ancak, WordPress’in teknik kısmına alışkın değilseniz, teknoloji ekibinize çalışmayı devretmek veya sizin için bu adımları atabilecek bir profesyonel kiralamak daha iyidir. Bu arada, çapraz alan komut dosyası saldırılarını önlemek için yapabileceğiniz iki şey var. Güvenlik Eklentisini Yükleme WordPress Güvenlik eklentisini yükleme WordPress web sitenizin en yüksek güvenliğine doğru ilk adımdır. Bir güvenlik eklentisi seçerken, eklentinin web sitenizin güvenliğini korumak için gereken işlevselliğe sahip olduğundan emin olmak için bu kontrol listesini referans olarak kullanın.
Bir eklenti WordPress sertleştirme adımlarını uygulayabilir.
Bir eklenti, tüm WordPress güncellemelerini yönetmenizi sağlar. Bir eklenti WordPress web sitenizi saklı tutar, böylece bir saldırı varsa, web sitenizi kurtarabilirsiniz.
Anti-XSS eklentisini yükleyen özel eklentiyi yükleyin, saha arası komut dosyalarını önlemenin başka bir yoludur. Anti-XSS eklentisi, siteler arası komut dosyası saldırılarında yaygın olarak kullanılan parametreleri engelleyerek çalışır. Örneğin, bu eklenti, web sitesi yorum formunuz, giriş alanınız veya arama çubuğunuz gibi kullanıcı girişi alanını güvence altına alabilir.
Mesele şu ki – çapraz bölgede komut dosyası sorunları ile ilgili tüm WordPress güvenlik açıklarının% 39’u. Şirket, çapraz alan senaryo saldırılarının sonuçlarıyla mücadele etmeye çalıştığı için milyonlarca dolar kaybetti. Web sitenizdeki hedeflenen XSS saldırısından kaçınmak için, çapraz alan komut dosyalarının ne olduğunu anlamak ve önlem almak önemlidir. Web sitenizi çapraz yer komut dosyalarından korumak için giriş alanlarınızı doğrulamanız ve temizlemeniz gerekir. Ayrıca, WordPress web sitenizi güvende tutmanıza yardımcı olacak özel anti-XSS güvenlik ve eklentileri yükleyebilirsiniz.
