Machine Translated by Google

Buni uyda sinab ko'rmang!
Machine Translated by Google

---

Saytlararo skript
Machine Translated by Google

---

– Forum ilovasi foydalanuvchilardan xabarlarni qabul
qiladi, ularni maÿlumotlar bazasida saqlaydi va
boshqa foydalanuvchilarga eÿlon qiladi
Asosiy matn :

Xabarni yuborish:
Mavzu: BEPUL pul oling!!!
brauzerlar skriptni boshqaradi
Saytlararo skript
Tajovuzkor zararli skriptni o'z ichiga olgan xabar yubordi deylik.
Tegishli boshqaruvlarsiz forum ilovasi uni maÿlumotlar bazasida
saqlaydi va boshqa foydalanuvchilarga yuboradi. Foydalanuvchilar
serverga ishonishadi, shuning uchun ularning brauzerlari undan olgan
har bir skriptni bajaradi. Zararli skript ko'plab kompyuterlarda ishlaydi.
OWASPga ko'ra hujum. Misol yuqorida ko'rsatilgan.
Oddiy forum ilovasi foydalanuvchilardan xabarlarni qabul qiladi,
ularni ma'lumotlar bazasida saqlaydi va keyin ularni o'qishni istagan
foydalanuvchilarga xabarlarni yuboradi.
Saytlararo skript (XSS) ikkinchi eng xavfli veb hisoblanadi
•
Hujumchi quyidagi xabarni joylashtiradi:
•
Boshqa foydalanuvchilar xabarni va ularning
•
Zaiflik misoli:
Machine Translated by Google

---

Ushbu hujumni mijoz tomonidan blokirovka qilish juda qiyin,
chunki brauzer zararli skriptlardan yaxshi skriptni taniy olmaydi.
E'tibor bering, zaiflik serverda, ammo mijozlar oxirgi qurbonlardir.
Biroq, veb-sayt ham qurbondir, chunki u ishonchni yo'qotadi.
Asosiy muammo shundaki, mijozlar serverga ishonishadi.
Server hatto raqamli sertifikatga ega bo'lishi va mijozlar bilan
xavfsiz aloqa o'rnatishi mumkin. E'tibor bering, bugungi kunda
deyarli har bir sayt skriptlarni o'z ichiga oladi va brauzerlar
ishonchli serverdan keladigan skriptlarni bloklamaslik uchun tuzilgan.
•
Mijozlar serverga ishonadi
(raqamli
sertifikat), shuning uchun ular skriptni bajaradilar