Header tabanlı XSS Zafiyeti

Bir saldırgan, HTTP headerlarını kullanarak istemci tarafında açık oluşturabilir. Expect ve Referrer direktiflerini kullanarak HTML sayfasının içerisine kendi kodlarını enjekte edebilir. Eğer sunucu tarafında istemci HTML koduna script enjekte edilmesi engellenmediyse, istemci scriptlerinin değiştirilme olasılığı vardır. Sistem XSS ataklarına açıksa, enjekte edilen kod istemci tarayıcısında işlenir. Saldırgan oturum değerleri gibi tüm global değişkenlere ulaşabilir, başka bir URL’e yönlendirebilir ya da oturuma bağlı olan değişkenlerin değerlerini değiştirebilir. XSS atakları web uygulamalarını tehdit etmektedir, bu nedenle tüm URL’ler encode edilmeli, oturum çerezleri şifrelenmeli ve çift taraflı olarak kontrol edilmelidir.

Çözüm

XSS ataklarından korunmak için aşağıdaki çözümleri kullanabilirsiniz:

1. Kullanıcı tarayıcısından gelen değerlere asla güvenmeyin, sayfaya gönderdiğiniz işlenecek değerlerin bir kopyasını veri tabanında ya da çerezler ile şifrelenmiş şekilde saklayıp geri dönen değerleri kontrol edin.
2. Tüm oturum değerleri ve çerezleri bir anahtar kelime ile şifreleyin (hash).
3. Kullanıcıdan geri dönen değerleri direk sistem içerisine göndermeyin, mutlaka bir yönlendirme scripti kullanın.
4. Kullandığınız scripting dilinin sağlamış olduğu XSS korumalarından faydalanın
5. URL encoding kullanın, örneğin < işareti yerine < kullanın

Yasal Uyarı

Copyright (c) 2019 – 2026 ONLAYER Bilişim Teknolojileri A.Ş.

Bu sayfadaki içeriğin kullanımı sadece bu sayfaya link ile atıf yapılarak mümkündür. Yazılı izin olmadan değiştirilemez ve alıntı yapılamaz.

Kullanım Uyarısı: Burada belirtilen direktifler olduğu gibidir ve uygulanması sonucunda oluşabilecek servis kesintileri ve veri kaybından ONLAYER sorumlu değildir. Sistemlerin daha iyi çalışabileceği ya da daha güvenli olacağına dair hiç bir garanti verilmemektedir. Ne firma ne de yazar kullanımdan dolayı hiçbir sorumluluk kabul etmemektedir.