Xss چیست؟ و راههای مقابله با آن

[pezhman32]

خواهش می کنم. شرمنده ی صاحب تاپیک شدیم که انقدر منحرف شد.
ولی "]" جالب بود. اگر پیداش کردی، حتماً لطف کن و بگو. می تونه خیلی آموزنده باشه

فکر کنم یادم اومد
این موضوع ربطی به xss نداشت ولی:
متوجه باگی که گفتم تو vb هست شدید؟ فهمیدید منظورم چیه؟ خوب احتمالا" vb از همین htmlspecialchars استفاده می کنه و موقع کد کرد [ بجای & # 9 1 ; خود [ رو قرار می ده مثلا" الان من & # 9 1 ; رو توی کد زیر نوشتم ولی خروجی رو نگاه کنید (فاصله های بین & # 9 1 ; رو برداشتم)

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

این موضوع در فرومهایی با موضوع برنامه نویسی می تونه باعث بوجود آمدن اشکالات زیادی بشه و تابع htmlspecialchars فقط و فقط می تونه جلوی xss رو بگیره

[neopersia]

نیازی نیست از همه اون توابع استفاده بشه. یه دونش کافیه.
در هر مورد باید ببینیم کدوم یکی بیشتر به کار مون میاد. من خودم معمولاً از htmlentities استفاده میکنم ولی خوب پیش اومده که اون دوتای دیگه هم به کار ببرم.

تفاوت دوتا اولی در کاراکترهایی هست که تبدیل میکنند.
تابع htmlspecialchars فقط &, <, > رو تبدیل میکنه تبدیل کوتیشنها هم بستگی به پارامتر دوم تابع داره.
اما تابع htmlentities همه کاراکترهایی رو که معادل HTML دارند تبدیل میکنه مثلاً اگر کسی مستقیماً علامت کپی رایت رو توی متن وارد کنه اونو تبدیل میکنه به ;copy& . برای همین فکر میکنم برای نمایش متن تو صفحه مناسب تر باشه.
سومی هم که مشخصه. همه تگهای HTML و PHP رو حذف میکنه مگر اون تگهایی رو که تو پارامتر دوم مجاز کنیم.

راستی تو مطالب قبل به ActiveX اشاره شد. من زیاد نمیدونم چی هست و چطوری به کار میره چون تکنولوژی مایکروسافته ولی تا جایی که میدونم اونم با تگ <object> وارد صفحه میشه که روشهای معرفی شده جلوشو میگیره

[neopersia]

فکر کنم یادم اومد
این موضوع ربطی به xss نداشت ولی:
متوجه باگی که گفتم تو vb هست شدید؟ فهمیدید منظورم چیه؟ خوب احتمالا" vb از همین htmlspecialchars استفاده می کنه و موقع کد کرد [ بجای & # 9 1 ; خود [ رو قرار می ده مثلا" الان من & # 9 1 ; رو توی کد زیر نوشتم ولی خروجی رو نگاه کنید (فاصله های بین & # 9 1 ; رو برداشتم)

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

این موضوع در فرومهایی با موضوع برنامه نویسی می تونه باعث بوجود آمدن اشکالات زیادی بشه و تابع htmlspecialchars فقط و فقط می تونه جلوی xss رو بگیره

میخوام امتحان کنم ببینم درست نشون میده یا نه!
[

حالا با تگ code امتحان میکنم:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

آره انگار مشکل داره! تو این نسخه وی بولتین همچین تعداد باگها کم نبوده!

[sadegh62]

سلا م دوستان بحث بسیار خوبیه ، شما شاید از من بهتر بدونید که ایران تو زمینه امنیت در جهان بسیار ضعیفه و این بحث ها باعث تقویت امنیت و پیشرفت علم امنیت در ایران و برنامه نویسان ایرانی می شه\لینک زیر
رو راجع به xss ببینید بد نیست
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[SAZEBIVAFA]

سلام
حالا یک سوال. مثلا من که اون اسکریپت را برای -- در url قرار دادم. اون اسکریپت فقط برای من اجرا میشه و دیگه در بین کدهای سایت ذخیره نمیشه که برای دیگران هم اجرا بشه؟ لطفا جواب بدید/

[hamedarian2009]

سلام
حالا یک سوال. مثلا من که اون اسکریپت را برای -- در url قرار دادم. اون اسکریپت فقط برای من اجرا میشه و دیگه در بین کدهای سایت ذخیره نمیشه که برای دیگران هم اجرا بشه؟ لطفا جواب بدید/

ببین یه مثال برات بزنم. مثلا یه سایت داریم که نظرات کاربران رو درج میکنه مثل همین سایت. خب تو الان یه سوال داری و من یه لینک بهت میدم که حاوی کدهای مخرب هست اگه روش کلیک کنی و سایت هم جلوی این حملات رو نگرفته باشه اونوقت من کوکی هاتو میدزدم . تمام

[SAZEBIVAFA]

من نرم افزار acunetix دارم حالا این برنامه صددرصد باگها رو پیدا میکنه؟ یا ممکنه اشتباه هم بکنه. این نرم افزار یه سری باگ پیدا کرد با نرم افزار دیگه نمیشه باگهای دیگه از این سایت پیدا کرد؟
در کل منظورم اینه که میشه به طور صد در صد به این برنامه اطمینان کرد و گفت دیگر بیشتر از این باگی نیست؟

[SAZEBIVAFA]

یه سوال دیگه برام پیش اومد
چطور میشه از این طریق کوکی های هدف رو گرفت؟آیا تمامی کوکی های مرورگر را میگیرد؟