Siteler Arası Komut Dosyası Çalıştırma (XSS) ve CSRF

Cross-Site Scripting (XSS), bir attacker'ın diğer kullanıcıların görüntülediği web sayfalarına Malicious betikler eklediği istemci taraflı bir injection açığıdır. Server'ı hedefleyen SQL injection'ın aksine XSS, kurbanın tarayıcısını hedefler. Tarayıcı attacker'ın betiğini oluşturduğunda, betik meşru sayfa betikleriyle aynı ayrıcalıklarla çalışır; bu da oturum ele geçirmeyi, kimlik bilgilerini çalmayı ve kötü amaçlı yazılım dağıtmayı mümkün kılar.

Reflected XSS, Malicious bir betiğin bir URL'ye gömülmesi ve Server'ın uygun kodlama uygulamadan bunu HTTP yanıtında hemen 'yansıtması' durumunda ortaya çıkar. Kurban, genellikle bir kimlik avı bağlantısı aracılığıyla hazırlanmış URL'ye tıklamaya kandırılır ve tarayıcısı attacker'ın betiğini çalıştırır. Reflected XSS kalıcı değildir — yalnızca kurban Malicious bağlantıya tıkladığında çalışır.

Stored (persistent) XSS, Malicious betiği uygulamanın veritabanına (örneğin bir yoruma veya forum gönderisine) gömer. Bu içeriği görüntüleyen her kullanıcının tarayıcısında betik çalıştırılır; bu nedenle stored XSS, reflected XSS'ten çok daha tehlikelidir. DOM-based XSS, istemci tarafındaki JavaScript'in DOM'dan (ör. URL parçasından) attacker tarafından denetlenen verileri okuması ve bunları güvenli olmayan biçimde sayfaya yazmasıyla tamamen tarayıcıda gerçekleşir.

XSS'e karşı temel Defense yöntemi output kodlamasıdır: özel karakterleri tarayıcıda oluşturmadan önce bunların HTML varlık karşılıklarına (<, >, &) dönüştürün. Bir Content Security Policy (CSP) üst bilgisi, hangi betiklerin çalışabileceğini kısıtlayarak önemli bir ikincil Defense sağlar. Server tarafında input doğrulaması (izin listesi) da uygulanmalıdır.

Cross-Site Request Forgery (CSRF), bir web sitesinin kimliği doğrulanmış kullanıcının tarayıcısına duyduğu güveni istismar eder. Bir attacker, kurbanın giriş yapmış olduğu bir siteye, kurbanın tarayıcısından istenmeyen kimliği doğrulanmış bir istek gönderilmesini sağlar. Tarayıcı oturum çerezlerini otomatik olarak eklediği için hedef Server isteğin meşru olduğuna inanır. Yaygın CSRF saldırıları para transferi yapar, e-posta adreslerini değiştirir veya hesap ayarlarını değiştirir.

Bir kullanıcının bank.com adresindeki bankasına giriş yaptığını düşünün. Bir attacker, kullanıcıya gizli bir görüntü etiketi içeren bir e-posta gönderir: <img src='https://bank.com/transfer?to=attacker&amount=1000'>. E-posta açıldığında tarayıcı görüntü URL'sini otomatik olarak yükler ve kurbanın banka oturum çerezi eklenmiş halde transfer isteğini gönderir. Banka bunu meşru bir istek olarak işler.

En etkili CSRF Defense yöntemi, her forma gömülen ve Server tarafında doğrulanan benzersiz, tahmin edilemez bir değer olan CSRF belirtecidir. Attacker, farklı bir kaynaktan belirteci okuyamadığı için (aynı kaynak politikası), sahte isteklerde geçerli bir belirteç bulunmaz ve bu istekler reddedilir. SameSite çerez özniteliği (SameSite=Strict veya Lax) de tarayıcıların siteler arası isteklerde çerez göndermesini önler.

XSS ve CSRF çoğu zaman karıştırılır, ancak farklı hedeflere saldırırlar. XSS, kurbanın tarayıcısında çalışan Malicious bir betik ekler ve kullanıcının web sitesine duyduğu güveni istismar eder. CSRF, kurbanın tarayıcısından güvenilen bir siteye sahte istekler gönderir ve web sitesinin kullanıcının tarayıcısına duyduğu güveni istismar eder. XSS, CSRF belirteçlerini çalmak için kullanılabilir ve böylece iki açığı birbirine zincirleyebilir.

Çerez bayrakları önemli XSS azaltmaları sağlar. HttpOnly bayrağı, JavaScript'in çereze document.cookie aracılığıyla erişmesini önleyerek XSS mevcut olsa bile oturum belirtecinin çalınmasını zorlaştırır. Secure bayrağı, çerezlerin yalnızca HTTPS üzerinden iletilmesini sağlayarak şifrelenmemiş kanallarda ele geçirilmelerini önler. Çok katmanlı bir Defense önlemi olarak her iki bayrak da tüm oturum çerezlerinde ayarlanmalıdır.

Security test uzmanları, her input alanına, URL parametresine, HTTP üst bilgisine ve JSON alanına yoklama yükleri ekleyerek XSS'i tespit eder. Basit bir yoklama <script>alert(1)</script> şeklindedir — bir uyarı kutusu görünürse XSS doğrulanmış olur. Burp Suite gibi araçlar XSS taramasını otomatikleştirir; OWASP ZAP ise ücretsiz etkin tarama sağlar. DOM tabanlı XSS, Server yanıtını incelemek yerine tarayıcı tarafındaki JavaScript'in analiz edilmesini gerektirir.

XSS saldırıları gerçek dünyada önemli zararlara yol açmıştır. Samy worm (2005), stored XSS'i kendi kendine yayılmak için istismar ederek 20 saat içinde MySpace'te bir milyondan fazla profile yayıldı. XSS saldırıları, oturum belirteçlerini çalarak hesapları tamamen ele geçirebilir, kullanıcıları kimlik avı sitelerine yönlendirebilir, tarayıcı açıklarından yararlanabilir (kullanıcı fark etmeden indirmeler) ve hedef kullanıcılar için yanlış bilgiler gösterecek şekilde sayfa içeriğini değiştirebilir.

Bu derste işlenen CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: XSS, diğer kullanıcıların görüntülediği sayfalara betikler ekler, CSRF, kimliği doğrulanmış tarayıcıları sahte istekler göndermeye kandırır ve output kodlaması, CSP, CSRF belirteçleri ve SameSite çerez özniteliği temel Defense yöntemleridir. Sırada bozuk kimlik doğrulama ve güvenli olmayan serileştirmeyi inceleyeceğiz.