CROSS SİTE SCRİPTİNG (XSS)
Sunucu tarafından gönderilen betik kodlarının(script),kullanıcı taraflı tarayıcıda yorumlanması ve yerel sistemde çalıştırılması Cross Site Scripting (XSS) saldırılarının temelini oluşturur.Web uygulamalarında bulunan güvenlik tehditlerinin tamamında olduğu gibi, XSS saldırıları da uygulamaların yeterli denetime tabi tutulmamasından faydalanır.Genelde sitelerin kodlanma sürecinde yapılan hatalar ve gerekli filtrelemelerin yapılmamasından dolayı ortaya çıkan XSS saldırıları,sıradan bir kullanıcının bile diğer kullanıcılarının bilgilerine veya sunucuda saklanan bazı bilgilere erişmesine mümkün kılar.
Normal şartlar altında tarayıcı ve sunucu arasında gerçekleşen bazı veri transferleri,kötü niyetli kişiler tarafından kullanılan bazı HTML tagları ile ele geçirilebilir.Tanımlama Bilgileri (Cookie) ve Portların Durumu konularını hatırlayacak olursanız ne demek istedğimi daha iyi anlayacaksınız.Tarayıcı web sunucusuna bağlantı isteği gönderdiği zaman,sunucu tarafından bağlantıya cevap gönderileceğinden ve böylece bir oturum açılacağından bahsetmişitk.Tarayıcı-Sunucu arasında gerçekleşen bu bağlantıda sunucu,bağlantı isteği gönderen bilgisayara cookie denen tanımlama bilgileri text dosyaları halinde yazar ve böylece tarayıcı,yeniden bağlanmak istediği zaman sunucu tarafından hatırlanır.Buraya kadar herşey normal.Peki ya sisteminizde oluşturulan cookiler ve sunuc taraflı Session bilgiler ele geçirilirse ? İşte XSS'nin büyük tehlikesi burda yatmaktadır.Tarayıcı-Sunucu arasında gerçekleşen bu olağan transferde , saldırgan tarafından kullanılan scriptler vasıtasıyla cookilerin çalınması sağlanır.
Bu saldırlarda genel olarak kullanılan HTML tagları ve açıklamaları aşağıdaki tabloda verilmiştir:
Web uygulamalarında arama modülleri,ziyaretçi defterleri vb. alanlarda, kullanıcı taraflı verileri (çoğunlukla) POST veya Get metodu ile alan kısımlar,XSS saldırılarının uygulunacağı potansiyel bölümlerdir.XSS saldırıları genel olarak doğrudan hedef kullanıcıya yönelik veya forumlar gibi paylaşım platformlarında gezinen kullanıcılara yönelik olur.Hedef ise genelde aynıdır:Cookieler
BİR TEŞEKKÜRÜ ÇOK GÖRMEYİN
Sunucu tarafından gönderilen betik kodlarının(script),kullanıcı taraflı tarayıcıda yorumlanması ve yerel sistemde çalıştırılması Cross Site Scripting (XSS) saldırılarının temelini oluşturur.Web uygulamalarında bulunan güvenlik tehditlerinin tamamında olduğu gibi, XSS saldırıları da uygulamaların yeterli denetime tabi tutulmamasından faydalanır.Genelde sitelerin kodlanma sürecinde yapılan hatalar ve gerekli filtrelemelerin yapılmamasından dolayı ortaya çıkan XSS saldırıları,sıradan bir kullanıcının bile diğer kullanıcılarının bilgilerine veya sunucuda saklanan bazı bilgilere erişmesine mümkün kılar.
Normal şartlar altında tarayıcı ve sunucu arasında gerçekleşen bazı veri transferleri,kötü niyetli kişiler tarafından kullanılan bazı HTML tagları ile ele geçirilebilir.Tanımlama Bilgileri (Cookie) ve Portların Durumu konularını hatırlayacak olursanız ne demek istedğimi daha iyi anlayacaksınız.Tarayıcı web sunucusuna bağlantı isteği gönderdiği zaman,sunucu tarafından bağlantıya cevap gönderileceğinden ve böylece bir oturum açılacağından bahsetmişitk.Tarayıcı-Sunucu arasında gerçekleşen bu bağlantıda sunucu,bağlantı isteği gönderen bilgisayara cookie denen tanımlama bilgileri text dosyaları halinde yazar ve böylece tarayıcı,yeniden bağlanmak istediği zaman sunucu tarafından hatırlanır.Buraya kadar herşey normal.Peki ya sisteminizde oluşturulan cookiler ve sunuc taraflı Session bilgiler ele geçirilirse ? İşte XSS'nin büyük tehlikesi burda yatmaktadır.Tarayıcı-Sunucu arasında gerçekleşen bu olağan transferde , saldırgan tarafından kullanılan scriptler vasıtasıyla cookilerin çalınması sağlanır.
Bu saldırlarda genel olarak kullanılan HTML tagları ve açıklamaları aşağıdaki tabloda verilmiştir:
Kod:
HTML TAGLARI AÇIKLAMA
SCRIPT : İstemci taraflı scriptler (JavaScript gibi) tanımlamaya yarayan HTML
tagıdır.
OBJECT : HTML sayfalara resim,video,flash,Java Applet veya ActiveX gibi objeleri
eklemeyi sağlar.
EMBED : Sayfalarda plug-in eklemeyi sağlayan tagdır.
APPLET : Sayfalarda Java Applet eklemek için kullanılır.Web uygulamalarında arama modülleri,ziyaretçi defterleri vb. alanlarda, kullanıcı taraflı verileri (çoğunlukla) POST veya Get metodu ile alan kısımlar,XSS saldırılarının uygulunacağı potansiyel bölümlerdir.XSS saldırıları genel olarak doğrudan hedef kullanıcıya yönelik veya forumlar gibi paylaşım platformlarında gezinen kullanıcılara yönelik olur.Hedef ise genelde aynıdır:Cookieler
BİR TEŞEKKÜRÜ ÇOK GÖRMEYİN
Son düzenleme:
