\n<script>\n<![CDATA[\nCoughUpYourPreciousData();\n]]>\n<\/script><\/code><\/pre>\n\n T\u00e4m\u00e4 voi esimerkiksi saada seuraavan sivulla vierailevan henkil\u00f6n l\u00e4hett\u00e4m\u00e4\u00e4n kopion ev\u00e4steist\u00e4\u00e4n hy\u00f6kk\u00e4\u00e4j\u00e4lle.\n<\/p>\n
\n Voit n\u00e4hd\u00e4, ett\u00e4 t\u00e4ss\u00e4 esimerkiss\u00e4 yll\u00e4 oleva koodimerkkijono ei n\u00e4yt\u00e4 mill\u00e4\u00e4n tavalla jonkun nimelt\u00e4. Palvelimesi ei tied\u00e4 t\u00e4t\u00e4, mutta voit opettaa sen k\u00e4ytt\u00e4m\u00e4ll\u00e4 muutamia asetettuja parametreja. Voit esimerkiksi k\u00e4ske\u00e4 kent\u00e4n hylk\u00e4\u00e4m\u00e4\u00e4n erikoismerkit, kuten ,() ja ; (niit\u00e4 ei erityisesti tarvita kommenttiosiossa). Voit kertoa kentt\u00e4\u00e4n, ett\u00e4 henkil\u00f6n nimess\u00e4 ei todenn\u00e4k\u00f6isesti ole numeroita. Jos haluat olla hieman ankara, voit k\u00e4ske\u00e4 kent\u00e4n hylk\u00e4\u00e4m\u00e4\u00e4n sy\u00f6tteet, jotka ovat yli viisitoista merkki\u00e4 pitk\u00e4t (tai voit muuttaa arvoja haluamallasi tavalla). N\u00e4iden vaiheiden suorittaminen rajoittaa huomattavasti vahingon m\u00e4\u00e4r\u00e4\u00e4, jonka hy\u00f6kk\u00e4\u00e4j\u00e4 voi tehd\u00e4 tietylle kent\u00e4ll\u00e4.\n<\/p>\n
![\"\"](\"https:\/\/inform.click\/wp-content\/uploads\/2022\/11\/post-327507-638448ef92725.webp\")
<\/a><\/p>\n\n Jopa tietojen validoinnissa voi olla lomakkeita tai kentti\u00e4, joissa et voi realistisesti rajoittaa k\u00e4ytett\u00e4vien merkkien tyyppi\u00e4, kuten yhteydenottolomakkeessa tai kommenttikent\u00e4ss\u00e4. Mit\u00e4 voit tehd\u00e4, on desinfioida tiedot. T\u00e4m\u00e4 prosessi tekee mahdottomaksi HTML-koodin suorittamisen tietyss\u00e4 kent\u00e4ss\u00e4 ja muuntaa kaiken, mik\u00e4 saattaa olla tunnistettavissa suoritettavan koodin osana, ei-koodaaviksi merkeiksi. Esimerkiksi hyperlinkki ei n\u00e4y siell\u00e4, miss\u00e4 se muuten voisi olla.\n<\/p>\n
\n Lopuksi on tapauksia, joissa sivustosi saattaa p\u00e4\u00e4ty\u00e4 n\u00e4ytt\u00e4m\u00e4\u00e4n tietoja, jotka eiv\u00e4t ole turvallisia k\u00e4ytt\u00e4jille. Oletetaan, ett\u00e4 joku kirjoittaa haitallisen kommentin yhdelle sivustasi, jonka sivustosi hakutoiminto indeksoi my\u00f6hemmin. Aina kun joku k\u00e4ytt\u00e4jist\u00e4si tekee haun, t\u00e4m\u00e4 haitallinen koodi suoritetaan, kun heid\u00e4n selaimensa lataa hakutulokset. T\u00e4m\u00e4 estet\u00e4\u00e4n pakottamalla tietoja, mik\u00e4 varmistaa, ett\u00e4 kun sivustosi toimittaa tietoja k\u00e4ytt\u00e4j\u00e4lle, ainoa koodi, joka suoritetaan, on se koodi, jonka haluat suorittaa.\n<\/p>\n
\n WordPress Codexilla<\/a> on erinomainen resurssi, jos haluat lis\u00e4tietoja tietojen validoinnista, desinfioinnista ja tietojen pakenemisesta. Se selitt\u00e4\u00e4 yll\u00e4 olevat k\u00e4sitteet yksityiskohtaisesti sek\u00e4 antaa lis\u00e4\u00e4 esimerkkej\u00e4, joita voidaan soveltaa yleisesti.\n<\/p>\n\n Muut menetelm\u00e4t
\n<\/h4>\n
\n Suurilla yrityksill\u00e4 on suuremmat verkkosivustot; se on fakta. Ehk\u00e4 tuhannet ihmiset k\u00e4ytt\u00e4v\u00e4t sivustoasi p\u00e4iv\u00e4ss\u00e4. Ehk\u00e4 standardilomakkeiden ja kenttien sijaan on my\u00f6s animaatioita, erilaisia \u200b\u200bportaaleja, Java-kielell\u00e4 kirjoitettuja osia ja niin edelleen. Vaikka seuraat kaikkea t\u00e4t\u00e4, yhdess\u00e4 hakemuksessasi saattaa olla nollap\u00e4iv\u00e4, etk\u00e4 voi puolustautua.\n<\/p>\n
\n T\u00e4llaisessa tilanteessa, jos sinulla on vaikutusvaltaa ja budjetti dollareita tehd\u00e4 niin, suosittelen, ett\u00e4 investoit Web Application Firewall (WAF). Hyv\u00e4 WAF sis\u00e4lt\u00e4\u00e4 korrelaatios\u00e4\u00e4nn\u00f6t, jotka automaattisesti tunnistavat ja est\u00e4v\u00e4t HTML-merkkijonot, jotka yleisimmin liittyv\u00e4t koodinsy\u00f6tt\u00f6hy\u00f6kk\u00e4uksiin. Ne voivat my\u00f6s ilmoittaa sinulle, kun sovellukset alkavat suodattaa tietoja, kun niiden ei ole tarkoitus tai tekev\u00e4t sit\u00e4 ep\u00e4tavallisella m\u00e4\u00e4r\u00e4ll\u00e4, mik\u00e4 auttaa puolustautumaan nollap\u00e4iv\u00e4hy\u00f6kk\u00e4yksi\u00e4 ja muita kehittyneit\u00e4 uhkia vastaan. WAF ei ole hopealuoti, mutta se on korvaamaton ty\u00f6kalu tietoturva-ammattilaisille ja verkkosivustojen omistajille, jotka haluavat suojata monimutkaisia \u200b\u200bsovelluksia.\n<\/p>\n
\n On my\u00f6s useita laajennuksia, joiden tarkoituksena on suojautua XSS-hy\u00f6kk\u00e4yksi\u00e4 vastaan. En todellakaan suosittele n\u00e4it\u00e4. Riskin v\u00e4hent\u00e4misen sijaan monet n\u00e4ist\u00e4 liit\u00e4nn\u00e4isist\u00e4 ovat vain yksi hy\u00f6kk\u00e4yspinta hakkerin hy\u00f6dynnett\u00e4v\u00e4ksi. Jopa yksi tunnetuimmista ja laajimmin k\u00e4ytetyist\u00e4 tietoturvalaajennuksista, Akismet, havaittiin viime vuonna alttiiksi XSS-hy\u00f6kk\u00e4yksille .<\/a> Kun kyse on XSS-hy\u00f6kk\u00e4ysten torjumisesta, \u00e4l\u00e4 luota puolitoimiin. Kehit\u00e4 tarvittavat taidot ja k\u00e4yt\u00e4 asianmukaisia \u200b\u200bty\u00f6kaluja verkkosivustosi turvallisuuden varmistamiseksi.\n<\/p>\n\n Muut k\u00e4yt\u00e4nn\u00f6n sovellukset
\n<\/h4>\n
\n N\u00e4m\u00e4 tiedot voivat olla v\u00e4h\u00e4n monimutkaisia \u200b\u200btiet\u00e4m\u00e4tt\u00f6mille, mutta inhoan ihmisten lannistuvan t\u00e4m\u00e4n tiedon mahdollisesta monimutkaisuudesta. Jos XSS-hy\u00f6kk\u00e4ys tapahtuu, voit olla varma, ett\u00e4 siivoaminen t\u00e4llaisen tapahtuman seurauksista on paljon monimutkaisempaa kuin muutosten tekeminen verkkosivustollesi. Mainekustannusten siivoaminen verkkosivustollesi (tavalliset lukijat pakenevat verkkosivustoltasi melko helposti) on lis\u00e4ongelma, josta sinun ei tarvitse huolehtia.\n<\/p>\n
\n Vaikka saat jonkun muun hoitamaan verkkosivustosi kehitt\u00e4misen ja turvallisuuden puolestasi, tee kaikkesi, jotta pystyt ainakin reagoimaan h\u00e4t\u00e4tilanteeseen ja tiet\u00e4m\u00e4\u00e4n, miss\u00e4 heikkoutesi ovat. J\u00e4rjestelm\u00e4n tarkistaminen on pitk\u00e4ll\u00e4 aikav\u00e4lill\u00e4 elint\u00e4rke\u00e4 taito ja perusta muille tietoturva-aiheille ja verkkosivustojen kehitysprojekteille. Kaikki on yhteydess\u00e4 toisiinsa verkossa, ja vaikka XSS-hy\u00f6kk\u00e4ykset saattavat olla menneiden vuosien juttu (vaikka t\u00e4m\u00e4 onkin ep\u00e4todenn\u00e4k\u00f6ist\u00e4), verkkosivustosi l\u00e4pikotaisin tunteminen ei ole koskaan vanhentunutta.\n<\/p>\n
\n Lopulliset ajatukset
\n<\/h4>\n
\n Internetin tietoturvaymp\u00e4rist\u00f6 muuttuu jatkuvasti. Et voi koskaan olla t\u00e4ysin varma siit\u00e4, milt\u00e4 XSS-hy\u00f6kk\u00e4ys saattaa n\u00e4ytt\u00e4\u00e4 tai kuinka sit\u00e4 voidaan k\u00e4ytt\u00e4\u00e4 sinua vastaan, mutta olet sen velkaa itsellesi ja lukijoillesi varmistaaksesi, ett\u00e4 teet kaiken voitavasi est\u00e4\u00e4ksesi heid\u00e4t. Pysy ajan tasalla t\u00e4st\u00e4 uhasta ja tarkista s\u00e4\u00e4nn\u00f6llisesti (suosittelen v\u00e4hint\u00e4\u00e4n kuukausittain) mahdollisen kyberturvallisuuden kehityksen varalta.\n<\/p>\n
\n T\u00e4m\u00e4 ei my\u00f6sk\u00e4\u00e4n tarkoita, ett\u00e4 voit sivuuttaa muita uhkia. Julkisen verkon k\u00e4ytt\u00f6 edellytt\u00e4\u00e4 silti VPN:n k\u00e4ytt\u00f6\u00e4, jotta se olisi turvallista. Et voi laiminly\u00f6d\u00e4 verkkosivustollesi p\u00e4\u00e4syyn k\u00e4ytt\u00e4m\u00e4si tietokoneen turvallisuutta. Kirjautumistietoja on edelleen vaihdettava usein ja oltava turvassa raa'an voiman hy\u00f6kk\u00e4yksilt\u00e4. XSS-hy\u00f6kk\u00e4ykset ovat raakoja, mutta ne eiv\u00e4t ole ainoa varottava uhka.\n<\/p>\n
\n Sinun kannattaa my\u00f6s jakaa n\u00e4m\u00e4 tiedot (tai jopa t\u00e4m\u00e4 artikkeli) kollegoidesi ja kiinnostuneiden osapuolten kanssa levitt\u00e4\u00e4ksesi vastustusta t\u00e4m\u00e4ntyyppisi\u00e4 hy\u00f6kk\u00e4yksi\u00e4 vastaan. Vaikka et ehk\u00e4 pysty tekem\u00e4\u00e4n liikaa yksin, jos riitt\u00e4v\u00e4 m\u00e4\u00e4r\u00e4 ihmisi\u00e4 suojaa itse\u00e4\u00e4n kunnolla, saatamme havaita t\u00e4m\u00e4ntyyppisten hy\u00f6kk\u00e4ysten yleisen v\u00e4henemisen, kun hakkerit yritt\u00e4v\u00e4t keksi\u00e4 toisenlaisen tavan hy\u00f6ty\u00e4 k\u00f6yhilt\u00e4 internetin k\u00e4ytt\u00e4jilt\u00e4.\n<\/p>\n
\n Onko sinulla itsell\u00e4si ajatuksia siit\u00e4, kuinka voit tarkistaa XSS-hy\u00f6kk\u00e4ykset ja puolustaa itse\u00e4si niit\u00e4 vastaan \u200b\u200btulevaisuudessa? Onko olemassa muita havaitsemis- ja poistostrategioita, joita k\u00e4yt\u00e4t itse torjuaksesi t\u00e4t\u00e4 uhkaa? Onko olemassa ty\u00f6kaluja, joita voisit suositella lukijoille? Jos n\u00e4in on, j\u00e4t\u00e4 kommentti alle ja jatka t\u00e4t\u00e4 t\u00e4rke\u00e4\u00e4 keskustelua lukijoiden kanssa.\n<\/p>\n<\/p>\n