Scripte XSS Açığını Nasıl Kapatırım !

Dün Paylaştığım Satılık Sitenin Demosuna Girilen Bilgilerde Böyle Yazıyordu Sorduğum Kadarıyla XSS Açığı Varmış Diyorlar Eğer Bu Yöntemle Yapıldıysa Nasıl Kapatırım ?

 

XSS açığı saldırganın web iletişiminde client tarafta zararlı JS kodları çalıştırmasıdır.
Gördüğüm kadarıyla gelen hesapları görmek için herhangi bir web uygulaması yok telegram botu var. Bu durumda XSS zafiyeti uygulamanızda yoktur.

Eğer gelen hesapları görebildiğiniz bir admin endpointi varsa ve kullanıcıdan gelen verilere(input) herhangi bir sanitizing işlemi yapmadıysaniz istemci olarak XSS zararlı kodları çalışacaktır.

Bunu engellemek için veritabanı kullanıyorsanız veritabanına ekleme yaparken PHP içerisindeki htmlspecialchars fonksiyonu sonucu oluşan çıktıyı veritabanı kaydediniz. (Dediğim yöntem PHP uygulamalarda geçerlidir)
Bu sayede saldırgan zararlı bir JS kodu girse dahi istemci tarafında render işlemine tabi tutulmayacak sembol olarak gösterilecektir.

Saygılarımla.

 

XSS açığı saldırganın web iletişiminde client tarafta zararlı JS kodları çalıştırmasıdır.
Gördüğüm kadarıyla gelen hesapları görmek için herhangi bir web uygulaması yok telegram botu var. Bu durumda XSS zafiyeti uygulamanızda yoktur.

Eğer gelen hesapları görebildiğiniz bir admin endpointi varsa ve kullanıcıdan gelen verilere(input) herhangi bir sanitizing işlemi yapmadıysaniz istemci olarak XSS zararlı kodları çalışacaktır.

Bunu engellemek için veritabanı kullanıyorsanız veritabanına ekleme yaparken PHP içerisindeki htmlspecialchars fonksiyonu sonucu oluşan çıktıyı veritabanı kaydediniz. (Dediğim yöntem PHP uygulamalarda geçerlidir)
Bu sayede saldırgan zararlı bir JS kodu girse dahi istemci tarafında render işlemine tabi tutulmayacak sembol olarak gösterilecektir.

Saygılarımla.

Teşekkür Ederim Fakat Veritabanı Yok
$password=htmlspecialchars$_POST["password"]; Örnek Olarak Böyle Yaptım Hata Verdi Telegramınız Var mı ?

 

Teşekkür Ederim Fakat Veritabanı Yok
$password=htmlspecialchars$_POST["password"]; Örnek Olarak Böyle Yaptım Hata Verdi Telegramınız Var mı ?

Telegram kullanmıyorum. Şu şekilde deneyebilirsiniz. Web uygulamanızda gelen her veriyi sanitize edin.

$password = htmlspecialchars($_POST['password']);

 

Telegram kullanmıyorum. Şu şekilde deneyebilirsiniz. Web uygulamanızda gelen her veriyi sanitize edin.

$password = htmlspecialchars($_POST['password']);

$password = htmlspecialchars($_POST['password']);

Dediğiniz Gibi bunu yaptım oldu çekiyor veriyi bunu yaptığım için birdaha xss yermi

 

$password = htmlspecialchars($_POST['password']);

Dediğiniz Gibi bunu yaptım oldu çekiyor veriyi bunu yaptığım için birdaha xss yermi

Ya şimdi %9999999 ihtimalle yemez. Ancak ben kalkıp telegram uygulamasında ya da browser'ınızda ya da PHP sürümünde ya da sistemde kurulu olan herhangi bir yazılımda XSS payloadları için bir 0day exploit bulursam yine XSS olur ki emin ol kimse uğraşmaz, uğraşan söylemez.
Ama şöyle diyeyim bilinen en güvenilir yöntem bu.
Telegramda gelen mesajlarda garip işaretler görebilirsin. (> tarzında) bu xss önlemek içindir.
Admin arayüzünde ise XSS payloadları çalışmayacaktır. Önceki yüklenen payloadlar çalışıyorsa veritabanından ya da ilgili dosyayı metin editörü
ile açarak silmeni öneririrm.

 

Ya şimdi %9999999 ihtimalle yemez. Ancak ben kalkıp telegram uygulamasında ya da browser'ınızda ya da PHP sürümünde ya da sistemde kurulu olan herhangi bir yazılımda XSS payloadları için bir 0day exploit bulursam yine XSS olur ki emin ol kimse uğraşmaz, uğraşan söylemez.
Ama şöyle diyeyim bilinen en güvenilir yöntem bu.
Telegramda gelen mesajlarda garip işaretler görebilirsin. (> tarzında) bu xss önlemek içindir.
Admin arayüzünde ise XSS payloadları çalışmayacaktır. Önceki yüklenen payloadlar çalışıyorsa veritabanından ya da ilgili dosyayı metin editörü
ile açarak silmeni öneririrm.

Eklediten Sonra Denedim Telegrama Veriler Geldi Ama Dediğiniz gibi (> tarzında) böyle birşey gelmedş

 

Eklediten Sonra Denedim Telegrama Veriler Geldi Ama Dediğiniz gibi (> tarzında) böyle birşey gelmedş

> > işaretine denk gelir demekki > işaretini herhangi bir yerde kullanmamışsın gönderirken.
HTML İçerisinde script etiketi gibi etiklet < işareti ile başlar mesela.

 

&gt; > işaretine denk gelir demekki > işaretini herhangi bir yerde kullanmamışsın gönderirken.
HTML İçerisinde script etiketi gibi etiklet < işareti ile başlar mesela.

Kodu Eklediten Sonra Deneme Attım Olmuşmu

 

Ekli dosyayı görüntüle 31436
Kodu Eklediten Sonra Deneme Attım Olmuşmu

Olmuş olmuş. dediğimi her parametrede yap ama kullanıcı adından ip adresini X-forwarded-for gibi headerlar ile alıyorsan onlara kadar her kullanıcıdan aldığın parametrede yap.

 

Olmuş olmuş. dediğimi her parametrede yap ama kullanıcı adından ip adresini X-forwarded-for gibi headerlar ile alıyorsan onlara kadar her kullanıcıdan aldığın parametrede yap.

ip konuma felanda eklemem lazım mı ? + username get e de ekliyim mi

 

Ekli dosyayı görüntüle 31437

ip konuma felanda eklemem lazım mı ? + username get e de ekliyim mi

Olmuş olmuş. dediğimi her parametrede yap ama kullanıcı adından ip adresini X-forwarded-for gibi headerlar ile alıyorsan onlara kadar her kullanıcıdan aldığın parametrede yap.

?

 

?

Hayır. Siteye veri girişi aldığın yerlere eklemen yeterli. Ayrıca tek tek yapıcağına array_map fonksiyonu kullan hepsini otomatik olarak koru.

 

Ekli dosyayı görüntüle 31437

ip konuma felanda eklemem lazım mı ? + username get e de ekliyim mi

Hayır. Siteye veri girişi aldığın yerlere eklemen yeterli. Ayrıca tek tek yapıcağına array_map fonksiyonu kullan hepsini otomatik olarak koru.

telegram var mı

 

XSS açığı saldırganın web iletişiminde client tarafta zararlı JS kodları çalıştırmasıdır.
Gördüğüm kadarıyla gelen hesapları görmek için herhangi bir web uygulaması yok telegram botu var. Bu durumda XSS zafiyeti uygulamanızda yoktur.

Eğer gelen hesapları görebildiğiniz bir admin endpointi varsa ve kullanıcıdan gelen verilere(input) herhangi bir sanitizing işlemi yapmadıysaniz istemci olarak XSS zararlı kodları çalışacaktır.

Bunu engellemek için veritabanı kullanıyorsanız veritabanına ekleme yaparken PHP içerisindeki htmlspecialchars fonksiyonu sonucu oluşan çıktıyı veritabanı kaydediniz. (Dediğim yöntem PHP uygulamalarda geçerlidir)
Bu sayede saldırgan zararlı bir JS kodu girse dahi istemci tarafında render işlemine tabi tutulmayacak sembol olarak gösterilecektir.

Saygılarımla.

Brom peki xss açıklı siteden nasıl veri çekerim?

 

Brom peki xss açıklı siteden nasıl veri çekerim?

Sql Injection araştır.

 

Sql Injection araştır.

Tamam

 

Brom peki xss açıklı siteden nasıl veri çekerim?

xss açıgından veri çekemezsin öyle bişey mi var mk

 

xss açıgından veri çekemezsin öyle bişey mi var mk

Telif sitelerine öyle Shell atıyorlar

 

Telif sitelerine öyle Shell atıyorlar

Veri çekme ve shell atma aynı şeymi

 

Veri çekme ve shell atma aynı şeymi

 

Veri çekme ve shell atma aynı şeymi

Webim zayıf xD