XSS (Cross-Site Scripting), bir web uygulamasındaki güvenlik açığını ifade eder ve genellikle kötü niyetli kullanıcıların başka bir kullanıcıya zararlı kod enjekte etmesine olanak tanır. XSS, bir saldırganın başka bir kullanıcıya ait verileri çalmak, oturum çerezlerini ele geçirmek veya zararlı içerik çalıştırmak için kullanabileceği yaygın bir güvenlik açığıdır.
XSS Türleri
Stored XSS (Depolanmış XSS):
- Zararlı kod, bir web uygulamasının veritabanına veya kalıcı bir depolama alanına kaydedilir.
- Örnek: Bir yorum formuna zararlı JavaScript kodu eklenir ve bu yorum her gösterildiğinde tüm kullanıcılar etkilenir.
Reflected XSS (Yansıtılmış XSS):
- Zararlı kod, hemen web sunucusu üzerinden yansıtılır ve kurbanın tarayıcısında çalıştırılır.
- Örnek: URL'de gönderilen kötü niyetli bir sorgu parametresi, bir arama sonucu sayfasında çalıştırılır.
DOM-Based XSS:
- Zararlı kod, doğrudan istemci tarafında (tarayıcıda) çalışır ve genellikle JavaScript'in yanlış kullanımından kaynaklanır.
- Örnek: Kullanıcı girdisinin güvenli bir şekilde işlenmediği dinamik sayfa güncellemeleri.
XSS'nin Tehlikeleri
- Çerez Hırsızlığı: Kullanıcıların oturum bilgileri çalınabilir.
- Kimlik Avı: Kullanıcılar sahte formlara yönlendirilebilir.
- Zararlı Kod Çalıştırma: Kullanıcı bilgisayarına kötü amaçlı yazılım yüklenebilir.
- Hizmet Kesintisi: Sistem kararsız hale getirilebilir veya kullanıcı deneyimi bozulabilir.
XSS'yi Önlemek İçin Alınabilecek Önlemler
Girdi Doğrulama ve Filtreleme:
- Kullanıcı girdilerini doğrulayarak beklenmeyen karakterleri engelleyin.
- HTML, JavaScript ve diğer kodlarla ilgili karakterleri kodlayın.
Çıkış Kodlaması (Output Encoding):
- Kullanıcı girdileri sayfada görüntülenmeden önce uygun şekilde kodlanmalıdır.
CSP (Content Security Policy) Kullanımı:
- CSP, yalnızca güvenilen kaynaklardan gelen içeriğin çalıştırılmasına izin verir.
HTTPOnly ve Secure Çerez Kullanımı:
- Çerezler, JavaScript üzerinden erişilemez ve güvenli bağlantılarla sınırlandırılmalıdır.
Kütüphane ve Çerçeve Güvenliği:
- Uygulamada kullanılan kütüphane ve framework'ler güncel tutulmalıdır.
XSS Nedir?
4/
5
Oleh
WebYazilimciniz
.png)
Lütfen yorum yaparken şunlara dikkat ediniz:
Küfürlü, siyasi veya huzur bozucu yorumlar yapmamaya,
Reklam, spam gibi yorumlar yapmamaya.