Dün Paylaştığım Satılık Sitenin Demosuna Girilen Bilgilerde Böyle Yazıyordu Sorduğum Kadarıyla XSS Açığı Varmış Diyorlar Eğer Bu Yöntemle Yapıldıysa Nasıl Kapatırım ?
Scripte XSS Açığını Nasıl Kapatırım !
- Durum
Dün Paylaştığım Satılık Sitenin Demosuna Girilen Bilgilerde Böyle Yazıyordu Sorduğum Kadarıyla XSS Açığı Varmış Diyorlar Eğer Bu Yöntemle Yapıldıysa Nasıl Kapatırım ?
XSS açığı saldırganın web iletişiminde client tarafta zararlı JS kodları çalıştırmasıdır.
Gördüğüm kadarıyla gelen hesapları görmek için herhangi bir web uygulaması yok telegram botu var. Bu durumda XSS zafiyeti uygulamanızda yoktur.
Eğer gelen hesapları görebildiğiniz bir admin endpointi varsa ve kullanıcıdan gelen verilere(input) herhangi bir sanitizing işlemi yapmadıysaniz istemci olarak XSS zararlı kodları çalışacaktır.
Bunu engellemek için veritabanı kullanıyorsanız veritabanına ekleme yaparken PHP içerisindeki htmlspecialchars fonksiyonu sonucu oluşan çıktıyı veritabanı kaydediniz. (Dediğim yöntem PHP uygulamalarda geçerlidir)
Bu sayede saldırgan zararlı bir JS kodu girse dahi istemci tarafında render işlemine tabi tutulmayacak sembol olarak gösterilecektir.
Saygılarımla.
Gördüğüm kadarıyla gelen hesapları görmek için herhangi bir web uygulaması yok telegram botu var. Bu durumda XSS zafiyeti uygulamanızda yoktur.
Eğer gelen hesapları görebildiğiniz bir admin endpointi varsa ve kullanıcıdan gelen verilere(input) herhangi bir sanitizing işlemi yapmadıysaniz istemci olarak XSS zararlı kodları çalışacaktır.
Bunu engellemek için veritabanı kullanıyorsanız veritabanına ekleme yaparken PHP içerisindeki htmlspecialchars fonksiyonu sonucu oluşan çıktıyı veritabanı kaydediniz. (Dediğim yöntem PHP uygulamalarda geçerlidir)
Bu sayede saldırgan zararlı bir JS kodu girse dahi istemci tarafında render işlemine tabi tutulmayacak sembol olarak gösterilecektir.
Saygılarımla.
Teşekkür Ederim Fakat Veritabanı Yok
$password=htmlspecialchars$_POST["password"]; Örnek Olarak Böyle Yaptım Hata Verdi Telegramınız Var mı ?
Telegram kullanmıyorum. Şu şekilde deneyebilirsiniz. Web uygulamanızda gelen her veriyi sanitize edin.
$password = htmlspecialchars($_POST['password']);
$password = htmlspecialchars($_POST['password']);
Dediğiniz Gibi bunu yaptım oldu çekiyor veriyi bunu yaptığım için birdaha xss yermi
Ya şimdi %9999999 ihtimalle yemez. Ancak ben kalkıp telegram uygulamasında ya da browser'ınızda ya da PHP sürümünde ya da sistemde kurulu olan herhangi bir yazılımda XSS payloadları için bir 0day exploit bulursam yine XSS olur ki emin ol kimse uğraşmaz, uğraşan söylemez.
Ama şöyle diyeyim bilinen en güvenilir yöntem bu.
Telegramda gelen mesajlarda garip işaretler görebilirsin. (> tarzında) bu xss önlemek içindir.
Admin arayüzünde ise XSS payloadları çalışmayacaktır. Önceki yüklenen payloadlar çalışıyorsa veritabanından ya da ilgili dosyayı metin editörü
ile açarak silmeni öneririrm.
Eklediten Sonra Denedim Telegrama Veriler Geldi Ama Dediğiniz gibi (> tarzında) böyle birşey gelmedş
> > işaretine denk gelir demekki > işaretini herhangi bir yerde kullanmamışsın gönderirken.
HTML İçerisinde script etiketi gibi etiklet < işareti ile başlar mesela.
Olmuş olmuş. dediğimi her parametrede yap ama kullanıcı adından ip adresini X-forwarded-for gibi headerlar ile alıyorsan onlara kadar her kullanıcıdan aldığın parametrede yap.
-
COLLECTOR45
Backend Developer
Hayır. Siteye veri girişi aldığın yerlere eklemen yeterli. Ayrıca tek tek yapıcağına array_map fonksiyonu kullan hepsini otomatik olarak koru.
-
Büyük İskender
Müsteşar
Brom peki xss açıklı siteden nasıl veri çekerim?
-
COLLECTOR45
Backend Developer
Sql Injection araştır.
-
Büyük İskender
Müsteşar
Tamam
xss açıgından veri çekemezsin öyle bişey mi var mk
-
Büyük İskender
Müsteşar
Telif sitelerine öyle Shell atıyorlar
-
COLLECTOR45
Backend Developer
Veri çekme ve shell atma aynı şeymi
-
Büyük İskender
Müsteşar
Veri çekme ve shell atma aynı şeymi
-
Büyük İskender
Müsteşar
Webim zayıf xDVeri çekme ve shell atma aynı şeymi
- Durum
About Us & Legal Notice
Yasal Uyarı: spyhackerz.org, 5651 sayılı Kanun kapsamında “Yer Sağlayıcı”dır.
Sitedeki içerikler, X, Instagram ve Facebook’ta olduğu gibi, ön onay olmadan tamamen kullanıcılar tarafından paylaşılır.
Bu nedenle spyhackerz.org, kullanıcı içeriklerini veya hukuka aykırı paylaşımları izlemek, denetlemek ve araştırmakla yükümlü değildir.
Site bünyesinde herhangi bir “saldırı ekibi” bulunmamaktadır ve Türkiye’deki internet sitelerine yönelik zararlı faaliyet yürütülmez. SPYHACKERZ, üyelerin bireysel olarak gerçekleştirdiği hacking içerikli forum faaliyetlerinden sorumlu değildir. spyhackerz.org adı kullanılarak bir saldırı yapılması halinde tüm sorumluluk yalnızca ilgili üyeye aittir.
Site bünyesinde herhangi bir “saldırı ekibi” bulunmamaktadır ve Türkiye’deki internet sitelerine yönelik zararlı faaliyet yürütülmez. SPYHACKERZ, üyelerin bireysel olarak gerçekleştirdiği hacking içerikli forum faaliyetlerinden sorumlu değildir. spyhackerz.org adı kullanılarak bir saldırı yapılması halinde tüm sorumluluk yalnızca ilgili üyeye aittir.