Reflected Xss Tespit Ve Kapatılması

*
XSS Nedir ?
*​

Veri girişi alanına gönderilen kötü niyetli javascript kodlarının, kullanıcının web tarayıcısında çalıştırıldığı bir saldırı türüdür. Yani kullanıcı taraflı bir saldırıdır.
URL adreslerindeki ve form alanlarında sıklıkla görülür.
Phishing saldırılarına zemin oluşturur.
Genellikle POST ve GET metotlarının kullanıldığı alanlarda olur.

*
XSS Tespit
*​

XSS Açıgını tespit etmek için text kutusuna bir Html kodu yazarak bulabiliriz .Genel olarak alert kodu yazılır ..Örnek olarak Alert Kodu "<script>alert.(BS)</script>" yazıp Enterladıgımızda tarayıcı ekranımıza açılır pencerede "BS" yazısı görünecektir.Bu şekilde sitemizde XSS açıgı olup olmadığını tespit etmiş oluruz .

Reflected XSS ?
*​

Bu saldırı URL alanlarına veya veri giriş alanlarına yapılır.Burada sadece saldırı yapan kişi etkiyi görebilir ziyaretçilere etki edemez. Bunu nasıl kullanabiliriz derseniz burda sosyal mühendislik kullanabiliriz. Bu yüzden URL alanında çalışan Reflected XSS saldırılarında
saldırgan URL adresini e-mail gibi çeşitli iletişim kanalları ile göndererek kurban avına çıkar.

Bunu kısaca resim üzerinde anlatılmış arkadaşlar .Burda saldırkan xss kodlarını kullanıcıya gönderiyor .Kullanıcı bu kodları çalıştırarak sunucuda bir istekde bulunmuş oluyor ve kabul edilen zararlı istek sonucu saldırgan hedeflerine ulaşmış oluyor .

XSS Zafiyetine Kapatılması
*​

Web uygulamasında kullanıcının veri girişine izin verilen alanlarda filtreleme yaparak bu açıkları kapatabilirsiniz. Veri girişinin filtrelenmesi kadar veri çıkışının da incelenmesi güvenliği arttıracaktır.Aşağıda belirtilen meta-karakterlerin filtrelenmesi XSS saldırılarına karşı güvenliğini sağlayacaktır:

['],[<],[>],[;],[/],[?],[=],[&],[#],[%],[{],[}],[|],[@],[\],["]

Ayrıca

$a = htmlspecialchars($_POST["a"]);

burda kullanılan "htmlspecialchars" kullanarakda filtreleme işlemi yapılmaktadır .

• Çerezlerin güvenli hale getirilmesi güvenliği arttırmak yapılabilecek önemli işlemlerdendir. Çerezler içinde kullanıcı adı, şifre vs saklanmasından kaçınmalıyız.

• Bunun yanında belirli penterasyon testleri yaprak içerde ve dışarda oluşabilecek zafiyetlerden bilgimizin olması kapatmamızda yararı olacaktır