इंजेक्शन और क्रॉस-साइट स्क्रिप्टिंग

इंजेक्शन हमले और क्रॉस-साइट स्क्रिप्टिंग (XSS) वेब अनुप्रयोगों की सबसे सामान्य कमजोरियों में शामिल हैं।

इंजेक्शन हमले तब होते हैं जब अविश्वसनीय इनपुट को किसी कमांड या क्वेरी के हिस्से के रूप में इंटरप्रेटर को भेजा जाता है।

• SQL इंजेक्शन - दुर्भावनापूर्ण SQL क्वेरी डालकर डेटाबेस का दुरुपयोग करता है।
• कमांड इंजेक्शन - होस्ट प्रणाली पर मनमाने कमांड चलाता है।
• LDAP इंजेक्शन - प्रमाणीकरण को दरकिनार करने के लिए LDAP क्वेरी में हेरफेर करता है।

हमलावर प्रमाणीकरण को दरकिनार करने के लिए SQL क्वेरी में बदलाव कर सकता है।

SELECT * FROM users WHERE username = 'admin' --' AND password = 'password';

XSS हमलावरों को उपयोगकर्ताओं द्वारा देखे जाने वाले वेब पृष्ठों में दुर्भावनापूर्ण स्क्रिप्ट डालने देता है।

• संग्रहीत XSS - दुर्भावनापूर्ण स्क्रिप्ट लक्ष्य सर्वर पर स्थायी रूप से संग्रहीत रहती है।
• परावर्तित XSS - स्क्रिप्ट वेब सर्वर से परावर्तित होकर उपयोगकर्ता के ब्राउज़र में चलती है।
• DOM-आधारित XSS - पृष्ठ के DOM में बदलाव करके स्क्रिप्ट उपयोगकर्ता के ब्राउज़र में चलाई जाती है।

• पैरामीटरयुक्त क्वेरी का उपयोग करें।
• उचित इनपुट सत्यापन लागू करें।
• उपयोगकर्ता के इनपुट में विशेष वर्णों को एस्केप करें।
• XSS रोकने के लिए सामग्री सुरक्षा नीति (CSP) का उपयोग करें।

• Burp Suite - वेब कमजोरी स्कैनर।
• SQLmap - स्वचालित SQL इंजेक्शन उपकरण।
• OWASP ZAP - वेब अनुप्रयोग सुरक्षा स्कैनर।

इंजेक्शन और XSS हमले वेब सुरक्षा के गंभीर जोखिम हैं। सुरक्षित कोडिंग पद्धतियाँ इन खतरों को रोकने में सहायता करती हैं।