Navzdory rychlému rozvoji výpočetní techniky je zabezpečení sítě stále zásadním problémem. Jednou z nejběžnějších jsou chyby zabezpečení XSS, které útočníkovi umožňují získat úplnou kontrolu nad internetovým prostředkem. Abyste zajistili, že je váš web bezpečný, měli byste jej prohledat, zda neobsahuje tuto chybu zabezpečení.
Instrukce
Krok 1
Podstata chyby zabezpečení XSS spočívá v možnosti spuštění skriptu třetí strany na serveru, který hackerovi umožní ukrást důvěrná data. Soubory cookie jsou obvykle odcizeny: jejich nahrazením útočníkem může útočník vstoupit na web s právy osoby, jejíž údaje ukradl. Pokud se jedná o správce, pak hacker také vstoupí na web s oprávněními správce.
Krok 2
Zranitelnosti XSS se dělí na pasivní a aktivní. Při použití pasivního se předpokládá, že skript lze na webu spustit, ale na něm neukládat. Chcete-li zneužít takovou chybu zabezpečení, musí vás hacker pod jednou nebo druhou záminkou přinutit kliknout na odkaz, který poslal. Jste například správcem webu, obdržíte soukromou zprávu a budete sledovat odkaz v ní uvedený. V tomto případě soubory cookie přejdou k čichadlu - programu pro zachycení dat, které hacker potřebuje.
Krok 3
Aktivní XSS jsou mnohem méně časté, ale mnohem nebezpečnější. V tomto případě je škodlivý skript uložen na webové stránce - například v příspěvku na fóru nebo v knize návštěv. Pokud jste zaregistrováni na fóru a otevřete takovou stránku, vaše soubory cookie se automaticky odešlou hackerovi. Proto je tak důležité mít možnost zkontrolovat, zda váš web neobsahuje tyto chyby zabezpečení.
Krok 4
Pro vyhledávání pasivních XSS se obvykle používá řetězec "> alert (), který se zadává do polí pro zadávání textu, nejčastěji do vyhledávacího pole webu. Trik je v první uvozovce: pokud dojde k chybě při filtrování znaků je uvozovka vnímána jako uzavření vyhledávacího dotazu a skript po jeho spuštění Pokud dojde k chybě zabezpečení, na obrazovce se zobrazí vyskakovací okno. Zranitelnost tohoto typu je velmi častá.
Krok 5
Hledání aktivního XSS začíná kontrolou, které značky jsou na webu povoleny. Pro hackera jsou nejdůležitější značky img a url. Zkuste například do zprávy vložit odkaz na obrázek takto:
Krok 6
Pokud se křížek objeví znovu, je hacker na půli cesty k úspěchu. Nyní přidává ještě jeden parametr za příponu *.jpg:
Krok 7
Jak chránit web před útoky prostřednictvím zranitelností XSS? Snažte se ponechat co nejméně polí pro zadávání dat. Navíc i přepínače, zaškrtávací políčka atd. Se mohou stát „poli“. Existují speciální hackerské nástroje, které zobrazují všechna skrytá pole na stránce prohlížeče. Například IE_XSS_Kit pro Internet Explorer. Najděte tento nástroj, nainstalujte jej - bude přidán do místní nabídky prohlížeče. Poté zkontrolujte všechna pole vašeho webu, zda neobsahují možná zranitelnost.
