Menü Kapat

XSS (Cross Site Scripting)

XSS genelde web uygulamalarında bulunan bir güvenlik açığı türüdür. XSS Saldırısı, web sayfalarına zararlı komutlar eklemesine olanak tanır. XSS saldırıları, Web saldırılarının büyük bir kısmını oluşturur.

XSS Saldırılarından etkilenen bazı büyük siteler;

Twitter

Facebook

Youtube

Son yıllarda, XSS güvenlik açıkları en yaygın şekilde sömürülmüş güvenlik açığı haline geldi.

XSS Saldırısı Nasıl Çalışır?

1: Bilgisayar saldırganları, genelde kullanıcı adları, şifreler veya fatura bilgileri gibi kullanıcı verilerini incelemek amacıyla kötü niyetli bir script dosyası tasarlarlar.

2: Saldırganlar, kötü amaçlı scripti bir web sitesine ekler. Komut, yasadışı kullanıcıya gizli bir katman görevi görür.

3: Saldırganlar bundan sonra, kullanıcı verilerini başarıyla toplarken olaydan geri bildirim alırlar.

 

Saldırı Türleri Nelerdir?

 

Stored XSS

 

Stored XSS saldırısı oldukça tehlikeli saldırı yöntemlerinden biridir.

Daha çok forum tarzı yazılımlarda veya web sitelerde ziyaretçi defterinde bulunur.

Bu alanlara gönderilen XSS kodları veri tabanına kaydedilir.

Sayfaya giren her kullanıcı için sayfayı görüntülerken XSS saldırısına maruz kalır.

 

Reflected  XSS

 

XSS saldırı URL alanlarına veya veri giriş alanlarına yapılır.

Yapılan bu saldırı sadece XSS saldırısı yapan kullanıcı tarafından görülür.

Ziyaretçiler bu saldırıyı göremezler. Bu yüzden URL alanında çalışan Reflected XSS saldırılarında saldırgan URL adresini e-mail gibi çeşitli iletişim kanalları ile göndererek kurban avına çıkar.

 

DOM XSS

 

DOM XSS saldırısı en tehlikeli XSS saldırı türüdür. JavaScript kodlarının zararlı bir şekilde kullanılması ile yapılır. Bu saldırı türünde kullanılan DOM nesneleri ile hedef web sitesinin index’i değiştirilebilir, sayfanın kodları ile oynanabilir, virüs, trojan gibi zararlı kodlar sayfaya entegre edilebilir.

 

Saldırıya Karşı Nasıl Savunulur?

Kara liste ve Beyaz liste: SQL İnjection Saldırıları için parametreleştirilmiş girdilere benzer şekilde gelen verileri sanitize etmek yani arındırmak için kullanabileceğiniz iki temel teknik; Beyaz Liste, onaylanmış verilerin bir listesini kullanır. Beyaz liste en güvenli savunma şeklidir. Kara liste, yasaklanmış verilerin bir listesini kullanarak girilen verilere veya sitelere ulaşımı engellediği için dışardan ve içerden herhangi bir etki durumu olamaz.

 

Barikat Sistemi (Uygulama Güvenliği) : Barikat kelimesi kendi anlamı olan işlevi görür,  yani sunucularınızın güvenliğini ihlal etme girişimlerine karşı erken uyarı sistemi gibi çalışır. Barikat gibi saldırı azaltma ürünlerini kullanarak saldırılara karşı savunmada erken davranabilirsiniz. Barikat sessizce arka planda tek tek izler güvenli gördüğüne izin verir görmediğine ise izin vermez.

 

Bu Yazı Resul Çulha aittir

Bir cevap yazın

E-posta hesabınız yayımlanmayacak.