एक xss छेद क्या है? - टेक्नोपेडिया से परिभाषा

परिभाषा - XSS होल का क्या अर्थ है?

एक XSS छेद एक वेब अनुप्रयोग है जो कंप्यूटर सुरक्षा भेद्यता के साथ उपयोगकर्ताओं को गतिशील सामग्री प्रदान करता है। यह एप्लिकेशन क्रॉस-साइट स्क्रिप्टिंग (XSS) है, और यह एक हमलावर को उपयोगकर्ता के गोपनीय डेटा का उपयोग करने के लिए सक्षम बनाता है, जो एक समान-मूल नीति जैसे एक्सेस कंट्रोल तंत्र को पारित किए बिना। यह दोष अधिक उपयुक्त रूप से XSS छेद के रूप में जाना जाता है।

टेकोपेडिया एक्सएसएस होल बताते हैं

उदाहरण के लिए, उपयोगकर्ता किसी दुर्भावनापूर्ण सामग्री की ओर इशारा करते हुए वेब एप्लिकेशन में हाइपरलिंक पर आ सकता है। उपयोगकर्ता लिंक पर क्लिक कर सकता है और दूसरे पेज पर ले जाया जा सकता है जिसमें कुछ या ईमेल बुलेटिन होंगे। यह पृष्ठ पासवर्ड के रूप में उपयोगकर्ता की जानकारी एकत्र करता है। यह एक दुर्भावनापूर्ण आउटपुट पेज भी उत्पन्न करता है जो उपयोगकर्ता के लिए वास्तविक रूप में प्रदर्शित होने के लिए कुछ नकली प्रतिक्रिया को इंगित करता है। या तो उपयोगकर्ता द्वारा दर्ज किए गए डेटा का दुरुपयोग किया जा सकता है या उपयोगकर्ता के सत्र को कुकी चोरी से अपहृत किया जा सकता है। एकत्र किए गए डेटा की संवेदनशीलता के आधार पर, क्रॉस-साइट स्क्रिप्टिंग एक सुरक्षा भेद्यता से गंभीर सुरक्षा सीमा तक हो सकती है। XSS भेद्यता के शोषण के बाद, हमलावर संगठन की अभिगम नियंत्रण नीतियों को दरकिनार कर सकता है।

क्रॉस-साइट स्क्रिप्टिंग की अवधारणा एक ही मूल नीति पर आधारित है। समान मूल नीतियां बताती हैं कि जावास्क्रिप्ट का उपयोग करने वाला वेब ब्राउज़र बिना किसी प्रतिबंध के एक ही साइट से संबंधित विभिन्न गुणों और विधियों तक पहुंच सकता है। दुर्भावनापूर्ण हमलावर जावास्क्रिप्ट का उपयोग करके एक वेबसाइट में दुर्भावनापूर्ण कोड इंजेक्ट करके उसी मूल नीति की अवधारणा का फायदा उठा सकते हैं। जब वेब पेज उपयोगकर्ताओं द्वारा देखे जाते हैं, तो हमलावर उपयोगकर्ता नाम या पासवर्ड जैसी कुछ उपयोगी उपयोगकर्ता जानकारी एकत्र कर सकते हैं।

2007 में सिमेंटेक द्वारा एकत्र किए गए आंकड़ों के अनुसार, कंप्यूटर का उपयोग करके किए गए सभी सुरक्षा हमलों के 80 प्रतिशत के लिए क्रॉस-साइट स्क्रिप्टिंग खाते हैं। क्रॉस-साइट स्क्रिप्टिंग के तीन प्रकार हैं:

• गैर-स्थायी XSS: गैर-निरंतर प्रकार की क्रॉस-साइट स्क्रिप्टिंग HTTP अनुरोधों के दौरान देखी जाती है जिसमें क्लाइंट HTTP अनुरोध में डेटा एम्बेड करता है। जब सर्वर क्लाइंट द्वारा पृष्ठों को उत्पन्न करने के लिए भेजे गए डेटा का उपयोग करता है, तो XSS छेद सक्रिय हो सकता है यदि अनुरोध ठीक से नहीं किया गया है। HTML पेज कंटेंट और प्रेजेंटेशन दोनों से बने होते हैं। यदि दुर्भावनापूर्ण उपयोगकर्ता कुछ सामग्री जोड़ता है जिसे मान्य नहीं किया गया है, तो मार्कअप इंजेक्शन होता है। उपयोगकर्ता दुर्भावनापूर्ण कोड द्वारा अनुरोधित जानकारी दर्ज करके अपनी सुरक्षा से समझौता करेगा। हमलावर उपयोगकर्ता को एक अलग URL पर गुमराह कर सकता है, जिसमें अधिक परिष्कृत वायरस हो सकता है और महत्वपूर्ण उपयोगकर्ता जानकारी प्राप्त कर सकता है।

• लगातार XSS: हमलावर द्वारा इंजेक्ट की गई दुर्भावनापूर्ण सामग्री को सर्वर साइड पर सहेजा जाता है और आगे के सभी क्लाइंट अनुरोध संशोधित सामग्री का उपयोग करते हैं, जिससे एक गंभीर सुरक्षा जोखिम उत्पन्न होता है। उदाहरण के लिए, कुछ फ़ोरम उपयोगकर्ता को HTML स्वरूपित संदेश पोस्ट करने की अनुमति देते हैं। इसलिए, एक हमलावर एक जावास्क्रिप्ट कोड एम्बेड कर सकता है ताकि पासवर्ड जैसी जानकारी इकट्ठा करने के लिए एक दुर्भावनापूर्ण टेक्स्ट बॉक्स पेश किया जा सके। हमलावर टेक्स्ट फ़ील्ड में दर्ज किए गए प्रत्येक पासवर्ड को बचाने और प्रसारित करने के लिए जावास्क्रिप्ट कोड को भी कॉन्फ़िगर कर सकता है।

• DOM बेस्ड XSS: डॉक्यूमेंट ऑब्जेक्ट मॉडल (DOM) एक ट्री स्ट्रक्चर है, जो उन सभी टैग्स को दर्शाता है, जो XML मानकों के अनुरूप एक डॉक्यूमेंट में दिखाई देते हैं। DOM का उपयोग HTML टैग्स और टैग्स के भीतर की सामग्री तक पहुँचने और हेरफेर करने के लिए किया जाता है। एक हमलावर जावास्क्रिप्ट कोड के एक दुर्भावनापूर्ण टुकड़े को इंजेक्ट कर सकता है जिसमें महत्वपूर्ण उपयोगकर्ता जानकारी तक पहुंचने और संशोधित करने के लिए उपयुक्त DOM स्टेटमेंट होते हैं। उदाहरण के लिए, हमलावर किसी तृतीय-पक्ष दुर्भावनापूर्ण वेबसाइट पर अनुचित प्रविष्टि द्वारा उपयोगकर्ता जानकारी को पुनर्निर्देशित करने के लिए DOM का उपयोग कर सकता है।