بعد إتمامي لكورس تطوير المواقع الإلكترونية طُلب مني تطوير موقع ويب لشركة ما، وبدئت بالفعل في إنشاء الموقع ورفعه على إستضافة Hosting وحجز DomainName وكان كل شيئ علي مايرام ، وفي ذات ليلة تعرض موقعي للإختراق وحدث ما لم أتوقعه!! وتعرضت لأول خيبة أمل لي في حياتي العملية، وبعد مدة من اليأس تعرفت على أسباب سقوط موقعي، نعم هي ثغرة XSS.
ما هي ثغرة XSS
هو هجوم يتم من خلاله حقن الشيفرة المصدريّة عبر موقع وسيط ((XSS)Cross-site scripting ) وهو أحد أنواع الهجوم التي يتعرض لها الأنظمة الحاسوبية، ونجدها خصوصاً في تطبيقات الإنترنت عبر ما يسمى برمجة بالحقن، التي يلجأ فيها بعض مستخدمي الإنترنت المخربين لإدخال بعض الجمل البرمجية للصفحات التي يستعرضها الآخرين.
وسأشارك معكم أضرار ثغرات XSS
تعتمد ثغرة XSS على استغلال المدخلات التي يقوم المهاجم بإدخالها وتكون بالغالب مبرمجة بـ لغة Javascript حيث يتمكن المهاجم من السرقة "" فيقوم بإنتحال شخصيتك في الموقع المستهدف أو تحويلك إلى صفحة أخرى مشابهة للموقع المستهدف كـ صفحة مزورة يتمكن من خلالها سرقة حسابات المستخدمين أو تحويل المستخدمين لتحميل برمجيات خبيثة كـ برمجيات تجسسية مثل فيروس الفدية، إذاً فالمتضرر من الثغرة بشكل رئيسي هم المستخدمين، والمبرمج .
الحماية من ثغرة XSS :
كما قلنا فإن المتضررين من الثغرة بشكل رئيسي هم المستخدمين والمبرمج ، وسوف أتناول بعض الحلول
بالنسبة للمستخدمين :
- استخدام إضافة NoScript .
- عدم الدخول على الروابط القادمة من طرف مجهول.
- دائما استخدم أخر اصدار من متصفحات الإنترنت.
أما بالنسبة للمبرمجين :
- التاكد من صحة مدخلاته وخلوها من الأخطاء.
- عمل فلترة لجميع المدخلات .
- التحقق من جميع القيم المدخلة .
والآن هل سبق وتعرضتم لذلك، شاركوني المزيد من طرق الحماية من ثغرة XSS؟
الأمر بسيط ياصديقي وسأحاول اختصر لك بالنقاط التالية:
- فلتر اي نماذج ادخال او جلسات او كوكيز وحدد مالذي تستقبله رقم او نص واستخدم الدوال التي تعطل عمل اي رموز غريبه وذلك من خلال تحويلها، وكل ذلك جاهز لاحاجة لان تنشئها من الصفر.
- عطل ظهور اخطاء السيرفر بعد انتهائك من المشروع ولاتسمح لاحد بالاطلاع على الاخطاء لانه سيحصل على معلومات حساسة عن كودك.
- امنع اي مدخلات من صفحات خارجية واستقبل فقط من ملفات السيرفر.
- بالنسبة لمخاطر جافا سكريبت فالمتصفحات قامت باللازم ولاحاجة للقلق.
والله اعلم. ان نسيت شيء فالاخوة سيذكرونه ان شاء الله.
التعليقات