Gavên ku pêşdebiran dikarin bavêjin ji bo kêmkirina xetereya qelsiyên XSS-ê yên di serîlêdanên webê de rave bikin.
Pêşdebir dikarin çend gavan bavêjin da ku xetera qelsiyên XSS di serîlêdanên malperê de kêm bikin. Cross-Site Scripting (XSS) qelsiyek ewlehiya serîlêdana webê ya hevpar e ku destûrê dide êrîşkaran ku skrîptên xerab di nav rûpelên malperê de ku ji hêla bikarhênerên din ve têne dîtin de derxînin. Van nivîsan dikarin ji bo dizîna agahdariya hesas, pêkanîna kiryarên nedestûr, an xirabkirina malperê werin bikar anîn. Ji bo pêşîgirtina li êrîşên XSS, pêşdebiran divê van gavan bişopînin:
1. Verastkirina Ketinê: Pêşdebir divê teknîkên erêkirina têketinê yên bihêz bicîh bînin da ku pê ewle bin ku daneyên ku ji hêla bikarhêner ve hatî peyda kirin bi rêkûpêk têne paqij kirin û pejirandin berî ku ew di her serîlêdana malperê de werin bikar anîn. Di vê yekê de verastkirina têketina ji hemî çavkaniyan, wek zeviyên formê, parametreyên pirsê, cookie, û sernavên HTTP-ê vedihewîne. Pêdivî ye ku erêkirina têketinê hem li ser milê xerîdar û hem jî li hêla serverê were kirin da ku pêvek ewlehiyê peyda bike.
Mînakî, heke serîlêdanek webê destûrê dide bikarhêneran ku şîroveyan bişînin, pêşdebir divê têketina şîroveyê rast bike û paqij bike da ku berî ku wê li ser malperê nîşan bide her nivîsarên potansiyel xirab jê bike.
2. Şîfrekirina Derketinê: Pêşdebir divê teknîkên şîfrekirina derketinê ya rast bikar bînin da ku piştrast bikin ku daneyên ku ji hêla bikarhêner ve hatî peyda kirin rast têne xuyang kirin û skrîptên xirab naxebitin. Bi şîfrekirina têketina bikarhêner, her karakterên taybetî yên ku dikarin wekî etîketên skrîptê an kod werin şîrove kirin di nav dezgehên xwe yên HTML-ê yên têkildar de têne guheztin û rê li ber darvekirina wan digire.
Mînakî, li şûna ku rasterast têketina bikarhêner di HTML-ê de were xuyang kirin, pêşdebir dikarin fonksiyonên kodkirina derketinê an pirtûkxaneyan bikar bînin da ku karakterên taybetî yên wekî '<' û '>' veguherînin hebûnên HTML-ê yên têkildar ('<' û '>').
3. Şîfrekirina Derketina Taybet-Rêveberê: Pêşdebir divê kodkirina encam-a-taybetî li gorî cîhê ku daneyên ji hêla bikarhêner ve têne bikar anîn bicîh bikin. Têkiliyên cihêreng, wek HTML, JavaScript, CSS, an URL, hevoksaziya cihêreng in û ji bo pêşîgirtina qelsiyên XSS hewceyê teknîkên şîfrekirinê yên taybetî ne.
Mînakî, heke têketina bikarhêner di taybetmendiyek HTML-ê de tê bikar anîn, pêşdebiran divê teknîkên şîfrekirinê yên taybetmendiyê bikar bînin da ku pêşî li êrişên potansiyel ên XSS bigirin.
4. Siyaseta Ewlekariya Naverokê (CSP): Pêkanîna Siyaseta Ewlekariya Naverokê rêyek bi bandor e ji bo kêmkirina xetereya êrîşên XSS. CSP destûrê dide pêşdebiran ku siyasetek destnîşan bikin ku diyar dike ka kîjan celeb naverok destûr têne barkirin û darvekirin li ser rûpelek malperê. Bi sînordarkirina çavkaniyên nivîsan û naverokên din, pêşdebiran dikarin pêşî li cîbicîkirina nivîsarên xerab ên ku di nav qelsiyên XSS de têne derzî kirin bigirin.
Mînakî, polîtîkayek CSP dikare were mîheng kirin ku tenê destûrê bide ku nivîsar ji çavkaniyên pêbawer werin barkirin, wek mînak heman domain an qadên taybetî yên spîkirî.
5. Nûvekirinên Ewlekariyê yên Birêkûpêk: Pêşdebir divê bi rêkûpêk çarçoweya serîlêdana webê, pirtûkxane û pêvekên ku ew bikar tînin nûve bikin da ku pêbaweriya wan a paçên ewlehiyê yên herî dawî hene. Di van nûvekirinan de qelsiyên XSS pir caran têne dîtin û rast kirin, ji ber vê yekê girîng e ku hûn bi serbestberdanên herî dawî re nûve bimînin.
6. Ceribandina Ewlekariyê: Pêşdebir divê ceribandina ewlehiyê ya bêkêmasî bikin, di nav de şopandina lawaziyê û ceribandina penetkirinê, da ku her lawaziyên potansiyel ên XSS nas bikin û çareser bikin. Amûrên otomatîk û vekolînên kodê yên destan dikarin bibin alîkar ku qalibên XSS yên hevpar nas bikin û di derheqê vektorên êrîşa potansiyel de têgihiştinan peyda bikin.
7. Perwerdehiya Ewlekariyê û Hişyariya Ewlekariyê: Pêşdebiran divê perwerdehiya rast li ser pratîkên kodkirina ewledar werbigirin û haya wan ji xeter û qelsiyên ewlehiyê yên herî dawî hebe. Bi têgihiştinek zexm a êrîşên XSS û teknîkên kêmkirinê, pêşdebir dikarin di pêvajoya pêşkeftinê de tedbîrên ewlehiyê bi proaktîf bicîh bînin.
Pêşdebir dikarin xetera qelsiyên XSS yên di serîlêdanên malperê de bi bicihanîna pejirandina têketinê, kodkirina derketinê, şîfrekirina-teybetmendî, Siyaseta Ewlekariya Naverokê, nûvekirinên ewlehiyê yên birêkûpêk, ceribandina ewlehiyê, û perwerdehiya ewlehiyê kêm bikin. Bi şopandina van gavan, pêşdebir dikarin bi girîngî îhtîmala êrişên XSS kêm bikin û yekitî û ewlehiya serîlêdanên xwe yên webê biparêzin.
Pirs û bersivên din ên vê dawiyê di derbarê Nivîsandina nav-malperê:
- Ma êrîşên XSS-ê yên hilanîn çêdibin dema ku nivîsarek xirab di daxwaznameyek serîlêdana malperê de tête kirin û dûv re ji bikarhêner re vedigere?
- Polîtîkaya Ewlekariya Naverokê (CSP) çi ye û ew çawa dibe alîkar ku xetera êrîşên XSS kêm bike?
- Vebêjin ka êrîşkarek çawa dikare koda JavaScriptê ya ku wekî URL-yê veşartî ye di rûpela xeletiya serverek de derxîne da ku koda xerab li ser malperê bicîh bîne.
- Vebêjin ka AngularJS çawa dikare were bikar anîn da ku kodek keyfî li ser malperek bicîh bike.
- Çawa êrîşkar qadek têketinê an parametreyek xedar bikar tîne da ku êrîşek XSS-ya echo bike?
- Nivîsandina xaç-malperê (XSS) çi ye û çima ew di serîlêdanên malperê de qelsiyek hevpar tê hesibandin?
- Di kaxeza lêkolînê ya "CSP mirî ye, bijî CSP" de çareseriya pêşniyarkirî çi ye ku ji bo çareserkirina kêşeyên pêkanîna CSP?
- Sînor û zehmetiyên ku bi pêkanîna CSP ve girêdayî ne?
- Siyaseta Ewlekariya Naverokê (CSP) çawa li hember êrîşên XSS-ê diparêze?
- Li dijî êrîşên XSS hin berevaniyên hevpar çi ne?
Pir pirs û bersivan di nivîsandina Cross-site de bibînin