\n<script>\n<![CDATA[\nCoughUpYourPreciousData();\n]]>\n<\/script><\/code><\/pre>\n\n Mo\u017ce to na przyk\u0142ad spowodowa\u0107, \u017ce nast\u0119pna osoba odwiedzaj\u0105ca t\u0119 stron\u0119 wy\u015ble \u200b\u200bkopi\u0119 swoich plik\u00f3w cookie do osoby atakuj\u0105cej.\n<\/p>\n
\n Mo\u017cesz zobaczy\u0107, \u017ce w tym przyk\u0142adzie powy\u017cszy ci\u0105g kodu w niczym nie przypomina czyjego\u015b imienia. Tw\u00f3j serwer tego nie wie, ale u\u017cywaj\u0105c kilku ustawionych parametr\u00f3w mo\u017cesz go tego nauczy\u0107. Na przyk\u0142ad mo\u017cesz nakaza\u0107 temu polu odrzucanie znak\u00f3w specjalnych, takich jak ,() i ; (nie s\u0105 szczeg\u00f3lnie potrzebne w sekcji komentarzy). Mo\u017cesz powiedzie\u0107 temu polu, \u017ce imi\u0119 osoby prawdopodobnie nie zawiera cyfr. Je\u015bli chcesz by\u0107 troch\u0119 drako\u0144ski, mo\u017cesz powiedzie\u0107 temu polu, aby odrzuca\u0142 dane wej\u015bciowe d\u0142u\u017csze ni\u017c pi\u0119tna\u015bcie znak\u00f3w (lub mo\u017cesz zmieni\u0107 warto\u015bci, jak chcesz). Podj\u0119cie tych krok\u00f3w drastycznie ograniczy ilo\u015b\u0107 szk\u00f3d, jakie atakuj\u0105cy mo\u017ce wyrz\u0105dzi\u0107 na okre\u015blonym polu.\n<\/p>\n
![\"\"](\"https:\/\/inform.click\/wp-content\/uploads\/2022\/11\/post-327507-638448ef92725.webp\")
<\/a><\/p>\n\n Nawet przy sprawdzaniu poprawno\u015bci danych mog\u0105 istnie\u0107 formularze lub pola, w kt\u00f3rych nie mo\u017cna realistycznie ograniczy\u0107 typu u\u017cywanych znak\u00f3w, na przyk\u0142ad w formularzu kontaktowym lub polu komentarza. To, co mo\u017cesz zrobi\u0107, to oczy\u015bci\u0107 dane. Proces ten uniemo\u017cliwia wykonanie kodu HTML w danym polu, konwertuj\u0105c wszystko, co mo\u017cna rozpozna\u0107 jako fragment wykonywalnego kodu, na znaki niekoduj\u0105ce. Na przyk\u0142ad hiper\u0142\u0105cze nie pojawi si\u0119 tam, gdzie inaczej mog\u0142oby si\u0119 pojawi\u0107.\n<\/p>\n
\n Wreszcie, istniej\u0105 przypadki, w kt\u00f3rych Twoja witryna mo\u017ce wy\u015bwietla\u0107 dane, kt\u00f3re s\u0105 niebezpieczne dla u\u017cytkownik\u00f3w. Za\u0142\u00f3\u017cmy, \u017ce kto\u015b pisze z\u0142o\u015bliwy komentarz na jednej z Twoich stron, kt\u00f3ry jest nast\u0119pnie indeksowany przez funkcj\u0119 wyszukiwania w Twojej witrynie. Za ka\u017cdym razem, gdy jeden z u\u017cytkownik\u00f3w przeprowadza wyszukiwanie, ten szkodliwy kod jest wykonywany, gdy jego przegl\u0105darka \u0142aduje wyniki wyszukiwania. Zapobiega temu unikanie danych, co zapewnia, \u017ce \u200b\u200bgdy witryna dostarcza dane u\u017cytkownikowi, jedynym uruchamianym kodem jest kod, kt\u00f3ry chcesz uruchomi\u0107.\n<\/p>\n
\n Aby uzyska\u0107 wi\u0119cej informacji na temat sprawdzania poprawno\u015bci danych, oczyszczania danych i ucieczki danych, WordPress Codex<\/a> zawiera doskona\u0142e zasoby. Wyja\u015bni szczeg\u00f3\u0142owo powy\u017csze poj\u0119cia, a tak\u017ce poda wi\u0119cej przyk\u0142ad\u00f3w, kt\u00f3re mo\u017cna zastosowa\u0107 uniwersalnie.\n<\/p>\n\n Inne metody
\n<\/h4>\n
\n Du\u017ce firmy maj\u0105 wi\u0119ksze strony internetowe; to jest fakt. By\u0107 mo\u017ce tysi\u0105ce os\u00f3b korzysta z Twojej witryny dziennie. Mo\u017ce zamiast standardowych formularzy i p\u00f3l s\u0105 te\u017c animacje, r\u00f3\u017cne portale, cz\u0119\u015bci napisane w Javie i tak dalej. Nawet je\u015bli \u015bledzisz to wszystko, by\u0107 mo\u017ce w jednej z Twoich aplikacji jest dzie\u0144 zerowy i nie masz mo\u017cliwo\u015bci obrony.\n<\/p>\n
\n W takiej sytuacji, je\u015bli masz na to wp\u0142yw i bud\u017cet, zalecam zainwestowanie w zapor\u0119 sieciow\u0105 (WAF). Dobry WAF b\u0119dzie mia\u0142 regu\u0142y korelacji, kt\u00f3re automatycznie identyfikuj\u0105 i blokuj\u0105 ci\u0105gi HTML, kt\u00f3re s\u0105 najcz\u0119\u015bciej kojarzone z atakami polegaj\u0105cymi na wstrzykiwaniu kodu. Mog\u0105 r\u00f3wnie\u017c powiadamia\u0107 Ci\u0119, gdy aplikacje rozpoczynaj\u0105 eksfiltracj\u0119 danych, gdy nie powinny tego robi\u0107 lub robi\u0105 to w nietypowych ilo\u015bciach, pomagaj\u0105c w ten spos\u00f3b w obronie przed atakami typu zero-day i innymi zaawansowanymi zagro\u017ceniami. WAF nie jest srebrn\u0105 kul\u0105, ale jest nieocenionym narz\u0119dziem dla specjalist\u00f3w ds. bezpiecze\u0144stwa i w\u0142a\u015bcicieli witryn internetowych, kt\u00f3rzy chc\u0105 chroni\u0107 z\u0142o\u017cone aplikacje.\n<\/p>\n
\n Istnieje r\u00f3wnie\u017c wiele wtyczek, kt\u00f3re rzekomo chroni\u0105 przed atakami XSS. W\u0142a\u015bciwie nie polecam tych. Zamiast zmniejsza\u0107 ryzyko, wiele z tych wtyczek stanowi po prostu kolejn\u0105 powierzchni\u0119 ataku, kt\u00f3r\u0105 haker mo\u017ce wykorzysta\u0107. Nawet jedna z najbardziej znanych i najcz\u0119\u015bciej u\u017cywanych wtyczek bezpiecze\u0144stwa, Akismet, okaza\u0142a si\u0119 w zesz\u0142ym roku podatna na ataki XSS .<\/a> Je\u015bli chodzi o odpieranie atak\u00f3w XSS, nie polegaj na p\u00f3\u0142\u015brodkach. Rozwijaj niezb\u0119dne umiej\u0119tno\u015bci i korzystaj z odpowiedniego zestawu narz\u0119dzi, aby Twoja witryna by\u0142a bezpieczna.\n<\/p>\n\n Inne praktyczne zastosowania
\n<\/h4>\n
\n Te informacje mog\u0105 by\u0107 nieco skomplikowane dla niewtajemniczonych, ale nie chcia\u0142bym, aby ludzie byli zniech\u0119ceni potencjaln\u0105 z\u0142o\u017cono\u015bci\u0105 tych informacji. W przypadku ataku XSS mo\u017cesz by\u0107 pewien, \u017ce sprz\u0105tanie po takim zdarzeniu b\u0119dzie o wiele bardziej skomplikowane ni\u017c wprowadzanie zmian na Twojej stronie. Sprz\u0105tanie koszt\u00f3w reputacji Twojej witryny (zwykli czytelnicy do\u015b\u0107 \u0142atwo uciekn\u0105 z Twojej witryny) b\u0119dzie dodatkowym problemem, o kt\u00f3ry nie chcesz si\u0119 martwi\u0107.\n<\/p>\n
\n Nawet je\u015bli zatrudniasz kogo\u015b innego, aby zaj\u0105\u0142 si\u0119 tworzeniem i bezpiecze\u0144stwem Twojej witryny, zr\u00f3b wszystko, co w Twojej mocy, aby przynajmniej m\u00f3c zareagowa\u0107 na sytuacj\u0119 awaryjn\u0105 i wiedzie\u0107, gdzie s\u0105 Twoje s\u0142abe punkty. Wiedza o tym, jak sprawdzi\u0107 sw\u00f3j system, b\u0119dzie na d\u0142u\u017csz\u0105 met\u0119 kluczow\u0105 umiej\u0119tno\u015bci\u0105 i b\u0119dzie podstaw\u0105 innych temat\u00f3w zwi\u0105zanych z bezpiecze\u0144stwem i projekt\u00f3w tworzenia stron internetowych. Wszystko jest ze sob\u0105 po\u0142\u0105czone online i chocia\u017c ataki XSS mog\u0105 by\u0107 ju\u017c przesz\u0142o\u015bci\u0105 (cho\u0107 jest to ma\u0142o prawdopodobne), wiedza o tajnikach Twojej witryny nigdy nie b\u0119dzie przestarza\u0142a.\n<\/p>\n
\n Ko\u0144cowe przemy\u015blenia
\n<\/h4>\n
\n Krajobraz bezpiecze\u0144stwa w Internecie stale si\u0119 zmienia. Nigdy nie mo\u017cesz by\u0107 ca\u0142kowicie pewien, jak mo\u017ce wygl\u0105da\u0107 atak XSS lub jak mo\u017ce zosta\u0107 wykorzystany przeciwko tobie, ale jeste\u015b winien to sobie i swoim czytelnikom, aby upewni\u0107 si\u0119, \u017ce robisz wszystko, co w twojej mocy, aby ich powstrzyma\u0107. Informuj si\u0119 na bie\u017c\u0105co o tym zagro\u017ceniu i sprawdzaj regularnie (polecam co najmniej raz w miesi\u0105cu) wszelkie istotne zmiany w \u015bwiecie cyberbezpiecze\u0144stwa.\n<\/p>\n
\n Nie oznacza to r\u00f3wnie\u017c, \u017ce mo\u017cna ignorowa\u0107 inne zagro\u017cenia. Dost\u0119p do sieci publicznej nadal wymaga korzystania z VPN, aby by\u0142 bezpieczny. Nie mo\u017cesz zaniedbywa\u0107 bezpiecze\u0144stwa \u017cadnego komputera, z kt\u00f3rego korzystasz, aby uzyska\u0107 dost\u0119p do swojej witryny. Dane logowania nadal musz\u0105 by\u0107 cz\u0119sto zmieniane i chronione przed atakami si\u0142owymi. Ataki XSS s\u0105 brutalne, ale nie s\u0105 jedynym zagro\u017ceniem, na kt\u00f3re nale\u017cy uwa\u017ca\u0107.\n<\/p>\n
\n Mo\u017ce by\u0107 r\u00f3wnie\u017c konieczne udost\u0119pnienie tych informacji (lub nawet tego artyku\u0142u) swoim wsp\u00f3\u0142pracownikom i zainteresowanym stronom w celu szerzenia oporu przed tego typu atakami. Chocia\u017c mo\u017cesz nie by\u0107 w stanie zrobi\u0107 zbyt wiele samodzielnie, je\u015bli wystarczaj\u0105ca liczba os\u00f3b odpowiednio si\u0119 chroni, mo\u017cemy zaobserwowa\u0107 og\u00f3lny spadek tego typu atak\u00f3w, poniewa\u017c hakerzy pr\u00f3buj\u0105 znale\u017a\u0107 inny spos\u00f3b czerpania korzy\u015bci z biednych u\u017cytkownik\u00f3w Internetu.\n<\/p>\n
\n Czy sam zastanawiasz si\u0119, jak sprawdzi\u0107 ataki XSS, a tak\u017ce broni\u0107 si\u0119 przed nimi w przysz\u0142o\u015bci? Czy s\u0105 jakie\u015b inne strategie wykrywania i usuwania, kt\u00f3rych u\u017cywasz do walki z tym zagro\u017ceniem? Czy s\u0105 jakie\u015b narz\u0119dzia, kt\u00f3re poleci\u0142by\u015b innym czytelnikom? Je\u015bli tak, zostaw komentarz poni\u017cej i kontynuuj t\u0119 wa\u017cn\u0105 rozmow\u0119 z innymi czytelnikami.\n<\/p>\n<\/p>\n