Cross Site Scripting (css – xss) Nedir / Nasýl Engellenir?
Efendim son zamanlarda lamer’lar (yalancý hacker) Ege Üniversitesi’nde XSS / CSS avýna çýkmýþlar, e bari nedir /nasýl engellenir yazalým.Söz edeceðimiz açýk, 2000 senesinden beri bilinen ama nedense hala web programcýlarý tarafýndan göz ardý edilen bir açýktýr.
XSS, Kullanýcýnýn girdi saðlayacaðý sayfalarda, kullanýcý tarafýndan girdiye script’ler gömülerek yapýlan saldýrýlardýr. Bu bazen direkt kullanýcýnýn (lamer) kendisi tarafýndan, ya da onu baþka bir isteye yönlendirmek isteyen bir lamer tarafýndan yapýlýyor olabilir.
“Genelde cross site scripting açýklarý, saldýrganýn sistemi deneme-yanýlma yaparak bulmasý ile ortaya çýkar. Açýðýn bulunmasý ile saldýrgan, baþka bir domainden, açýðýn bulunduðu domain ve sayfanýn bilgilerini, session bilgilerini ve diðer obje deðerlerini çalmasýna olaðan saðlar.” [1]. Detaylar için bkz [1].
“Cross-site scripting (XSS) güvenlik açýklarý, e-posta listelerinde en çok rastlanan güvenlik açýklarý arasýnda yer almaktadýr. Bunun baþlýca nedeni ise bu açýða bir çok web uygulamasýnda rastlanmasý ve ücretsiz güvenlik açýðý tarama yazýlýmlarý ile kolayca keþfedilmesidir…” [7].
Çözüm:
Aslýnda çözüm yazýlan kodlamanýn düzeltilmesindedir.
Programýn kullanýcýdan aldýðý girdiler, her zaman kontrolden geçirilmelidir. Bu ayný zamanda “Sql injection”, “Buffer Overflow” gibi saldýrýlarý da engelleyecektir.
Eðer belirli bir tür veri (numerik, alfanümerik) bekleniyorsa ve belirli bir boyutta ( 8 karakter, maksimum 20 karakter gibi) olmasý bekleniyorsa, girilen verinin bu þartlara uyduðunun saðlanmasý gerekmektedir. Girdilerden metakarakter’ler mutlaka filtrelenmelidir. Bu birçok saldýrýyý engelleyecektir. Örneðin
< > ” ‘ % ; ) ( & + -
karakterleri kullanýcý girdisinden temizlenmelidir. Aslýnda ne tür verinin beklendiði belirtildiði durumlarda, bu tür filtreleme de otomatikman gerçekleþecektir.Bu tür karakterlerin gerektiði ortamlarda, girilen verinin encode edilmesi gerekebilir.ASP’de bunun nasýl yapýlabileceði için bkz [4]. Girdideki metkarakterlerde “<” karakterini “<” a dönüþtürmek gibi süreçler gerçekleþtirilebilir [2].
Bu önlemler birçok XSS saldýrýsýný engelleyecektir. Daha detaylý bilgi için [5] ve [6] incelenmelidir. Web üzerinden yazýlým geliþtirenlerin Cert’in [6] referansýnda yazýlý olanlara dikkat etmesi ve kodlamalarýnda dökümanda belirtilen kurallara uymasý gerekmektedir.
Aðda kurulacak bir sistemle bu saldýrýlarýn engellenmesinin saðlanmasý ise ancak sunucularý bir “proxy” veya IPS arkasýna koyup her türlü data verisinin kontrolü ve düzeltilmesi ile saðlanabilir. Bu süreçte ise idari ve teknik çeþitli problemler yaþanabilecektir.
En etkin yol, dökümanda belirtildiði üzere sunuculardaki kodun tekrar elden geçirilmesidir. Eðer kodu yazan ortalýklarda gözükmüyorsa, ya o kod kaldýrýlmalý ya da að tabanlý bir çözüme gidilmelidir.
Saygýlar..
|