Tehdit profili
Siteler arası betik çalıştırma (XSS)
Bir sayfanın saldırgan denetimindeki içeriği etkin kod olarak sayfaya katması; kod, ziyaretçinin tarayıcısında sitenin yetkileriyle çalışır.
Nasıl işler
Yorum ya da profil adı gibi kullanıcı metni, bulunduğu bağlama göre kodlanmadan sayfaya konursa tarayıcı onu sitenin kendi betiğinden ayıramaz. Betik, o sitede oturum açmış kullanıcı gibi davranabilir. Üç yaygın türü vardır: kalıcı, yansıyan ve DOM tabanlı.
Nelere bakılmalı
- Yazdığınız içeriğin sayfanın HTML kaynağında değişmeden görünmesi.
- Sayfaların yönlendirdiği ya da beklenmedik pencereler açtığı yönünde bildirimler.
- Tarayıcıdan gelen içerik güvenliği politikası ihlal raporları.
Riski ne azaltır
- Çıktıyı gideceği yere göre kodlayın: HTML gövdesi, öznitelik, URL ya da betik. Bunu varsayılan yapan çerçeveleri tercih edin.
- Satır içi betiği yasaklayan sıkı bir Content-Security-Policy tanımlayın.
- Oturum çerezlerini HttpOnly işaretleyin; betikler okuyamasın.
- Kabul etmek zorunda olduğunuz HTML'i bakımı süren bir kitaplıkla temizleyin.
İlgili araç
Kaynaklar
İlgili tehditler
Bu bölüm savunma ve öğrenme içindir. Sahibi olmadığınız ya da test etmek için yazılı izin almadığınız sistemleri denemeyin: bir bilişim sistemine hukuka aykırı olarak girmek suçtur (Türk Ceza Kanunu m. 243).