ما هي البرمجة النصية عبر المواقع

18 نيسان By كريستين مارجريت لا توجد تعليقات 5 دقيقة

تعد البرمجة النصية عبر المواقع ، والتي تسمى أيضًا XXS ، هجومًا ضارًا يقوم بحقن نصوص برمجية ضارة عن عمد في متصفح الويب الخاص بالمستخدم. ينفذ المهاجم تعليمات برمجية ضارة في تطبيق ويب أو صفحة ويب ، وبمجرد زيارة المستخدم لتطبيق الويب أو صفحة الويب ؛ يتم إرسال البرنامج النصي الخبيث تلقائيًا إلى متصفح المستخدمين.

بهذه الطريقة ، يتحكم المهاجم في متصفح المستخدم أو حسابه على موقع ويب معين. هذا يعني أن هذا الهجوم لا يضر بتطبيق الويب نفسه ، ولكنه يؤثر على مستخدمي ذلك التطبيق.

علاوة على ذلك ، عادةً ما يتم نقل البرامج النصية الضارة كرمز JavaScript. ومع ذلك ، يمكن أن تستغل الرموز الضارة أيضًا متصفحات المستخدمين بلغات أخرى بما في ذلك HTML و Ajax و Flash و Java.

ملخص الشرح

فيما يلي ملخص موجز لشرح البرمجة النصية عبر المواقع:

• XXS هو هجوم مستند إلى الويب على صفحات الويب أو تطبيقات الويب المعرضة للخطر
• إنه يضر بمستخدمي تطبيق الويب ، وليس التطبيق نفسه
• XXS ينقل البرامج الضارة للمستخدمين عبر JavaScript.

كيف يعمل هجوم البرمجة النصية عبر المواقع (XXS)؟

تحدث هجمات البرمجة النصية عبر المواقع بطريقة تتلاعب أولاً بتطبيق ويب ضعيف باستخدام برنامج نصي ضار ، ثم يقوم تطبيق الويب بتسليم جافا سكريبت الضار إلى متصفح المستخدم.

بمجرد دخول البرنامج النصي الضار إلى متصفح المستخدم ، يمكن للمهاجم التحكم بسهولة في متصفح المستخدم.

الغرض من البرمجة النصية عبر المواقع

ينفذ المهاجم هجمات XXS للأسباب التالية:

• لاختراق حساب
• لنقل البرامج الضارة والفيروسات على الأنظمة التي تستخدم الإنترنت
• للوصول إلى محتوى حافظة المستخدم وسجل المتصفح
• لتشغيل متصفح المستخدم عن بعد
• لاستغلال تطبيقات الإنترانت والوصول إليها

أمثلة على البرمجة النصية عبر المواقع

بعض المصادر الأكثر ضعفًا لحقن XXS هي منتديات لوحة الإعلانات ومواقع الويب المستضافة ذاتيًا والتي تسمح للمستخدم بالنشر.

الآن ، نشارك مثالًا بسيطًا على Cross-Site Script أدناه:

إنه رمز JSP ، حيث يمكنك أن ترى أنه تم إجراء طلب HTTP ، ويقرأ الرمز معرف الموظف ، eid ، ويعرضه للمستخدم.

لن يعمل الرمز الموجود في هذا المثال بشكل جيد إلا إذا تضمن الرمز (العيد) نصًا أبجديًا رقميًا قياسيًا.

ولكن ، إذا كان نفس الرمز (eid) يستخدم أي أحرف أولية أو قيمة شفرة المصدر ، فهذا يعني أن الكود سيتم فرضه بواسطة متصفح الويب ليتم عرضه على المستخدم كاستجابة HTTP.

في البداية ، لا يبدو أنها ثغرة أمنية كبيرة لأنه لن يقوم أحد بإدخال عنوان URL ضار. ومع ذلك ، يبدأ الاضطراب ، عندما ينشئ المهاجم رابطًا ضارًا ويخدع المستخدمين لزيارة الرابط المخفي في عنوان URL.

عادةً ما يخدع المهاجم المستخدمين من خلال الهندسة الاجتماعية ورسائل البريد الإلكتروني ويجذب المستخدمين لزيارة رابط ضار.

بمجرد أن ينقر المستخدم على الرابط الضار ، فإنه يقوم عن غير قصد بإعادة إرسال المحتوى الضار لتطبيق الويب إلى نظامه الخاص.

تسمى عملية عكس المحتوى الضار بـ XXS المنعكسة. تتسبب هجمات XXS في حدوث اضطرابات خطيرة تؤدي غالبًا إلى التلاعب وسرقة البيانات بشكل خطير.

أنواع البرمجة النصية عبر المواقع

1. تخزين / ثابت XSS

هجوم XSS المخزن / المستمر هو الشكل الأكثر تعطيلًا لهجوم XSS حيث ينقل المهاجم نصًا برمجيًا دائمًا على تطبيق الويب. يقع المستخدمون ضحية للنصوص الضارة عند إجراء أي طلب على الخادم.

2. XXS ينعكس

لا يتضمن هذا النوع من البرمجة النصية عبر المواقع مهاجمة الخادم مباشرةً. يستخدم رسائل البريد الإلكتروني لخداع المستخدمين لتنفيذ نصوص ضارة في المتصفح. يعتقد المستعرض أنه برنامج نصي موثوق به وبالتالي فإن جميع المحتويات الضارة تنعكس في متصفح المستخدم.

3. الهجمات القائمة على DOM

الهجمات المستندة إلى DOM أقل شيوعًا وتختلف بطريقة لا تعطل فيها أبدًا التعليمات البرمجية من جانب الخادم ، فهي تعتمد فقط على البرامج النصية من جانب العميل.

يشير DOM إلى نموذج كائن المستند الذي يمثل واجهة برمجة تطبيق (API) لمستندات HTML و XML. تحدث الهجمات المستندة إلى DOM فقط عندما يعرض تطبيق الويب بيانات المستخدم في نموذج كائن مستند.

يقرأ تطبيق الويب بيانات المستخدم وينقلها إلى المتصفح. إذا كانت بيانات المستخدم غير آمنة ، فيمكن للمهاجم بسهولة تخزين البرامج النصية الضارة في DOM.

كيفية تحديد ضعف موقع الويب الخاص بك

يمكنك بسهولة التحقق من ضعف موقع الويب الخاص بك من خلال الماسحات الضوئية للثغرات الأمنية مثل Nessus و Nikto و Vega و Grab و WebScarab وغير ذلك الكثير المتاح.

من المهم إجراء مراجعة أمنية للشفرة بعناية ومعرفة جميع الثغرات الأمنية المحتملة التي قد تسمح للإدخال من طلب HTTP للوصول إلى مخرجات HTML.

ضع في اعتبارك أنه يمكن استخدام مجموعة متنوعة من علامات HTML لتنفيذ JavaScript ضار. لذلك ، من المهم فحص موقع ويب عبر ماسحات أمان الويب.

في حالة تعرض أي جزء من الموقع للخطر ، فهناك احتمالية أن يقع الموقع بأكمله ضحية للضرر.

كيفية منع هجمات البرمجة النصية عبر المواقع

1. الهروب من إدخال المستخدم

الهروب من إدخال المستخدم هو طريقة لمنع هجمات XXS. في هذه الطريقة ، يجب عليك التأكد من أن البيانات التي يوشك تطبيق الويب الخاص بك على إرسالها مرة أخرى إلى متصفح الويب الخاص بالمستخدمين آمنة.

يشتمل WordPress و PHP على وظائف تقوم تلقائيًا بتعقيم البيانات التي تخرجها.

2. التحقق من صحة المدخلات

التحقق من صحة الإدخال هو العملية التي يتم فيها فحص أي بيانات يقدمها تطبيق الويب والتحقق منها بدقة قبل إرسالها مرة أخرى إلى متصفح المستخدمين.

يجب أن تتحقق تطبيقات الويب من البيانات وتتحقق من صحتها قبل الدخول في أنظمة أخرى. يساعد على اكتشاف أي رابط أو برنامج ضار يهدف إلى مهاجمة أنظمة المستخدمين.

وفي الختام

تعد هجمات XXS شائعة ويمكن أن تعطل خصوصية المستخدمين ، ومع ذلك ، فمن السهل اختبار ومنع تطبيقات الويب من البرامج النصية الضارة.

يجب أن تقوم تطبيقات الويب بتعقيم مدخلاتها باستمرار قبل إرسالها مباشرة إلى متصفح المستخدمين. أيضًا ، ستساعد عمليات فحص الويب المنتظمة تطبيقات الويب في العثور على ما إذا كانت هناك أي ثغرة أمنية.

اشترك في النشرة الإخبارية

تلقي المنشورات الشائعة لهذا الأسبوع وآخر الإعلانات من FastestVPN عبر النشرة الإخبارية عبر البريد الإلكتروني.

البريد الإلكتروني