Ve bu ders ve sonraki birkaç derste, aşırılıkların aşılması olarak adlandırılan bir güvenlik açığı hakkında
konuşacağız. Bu tür bir güvenlik açığı komut dosyası için bir çapraz site komut dosyası için kısa bir saldırgan,
bir saldırganın javascript'i bir sayfaya enjekte etmesini sağlar, böylece javascript bir programlama dilidir.
Ve bu güvenlik açığını kullanarak bir saldırgan Javascript'te yazılmış bir kodu çalıştırabilir ve
belirli bir sayfada bir Web sitesine javascript bir istemci tarafı dilidir.
Bu nedenle, kod yürütüldüğünde, müşteriye web sayfasını gezen kişide kullanıcı tarafından
yürütülür.
Sunucuda yürütülmeyecek.
Bu nedenle, kodunuz size ters bir kabuk vermiş olsa bile, kabuk, sayfayı gezen
kullanıcıdan gelecek ve Web sitesinden gelmeyecek.
Bu yüzden, JavaScript’e yazdığınız herhangi bir kod istismar edilecek veya sayfaları görenler için hedef kullanıcı
üzerinde çalışacaktır.
Ve web sunucusunda değil.
Bu nedenle, web sunucusu yalnızca kodu yürütmek veya kodu
iletmek için kullanılacaktır, kalıcı veya depolanan üç ana
erişim tipi vardır;
Bu yüzden, enjekte ettiğiniz kod veritabanına veya sayfaya kaydedilir; böylece herhangi
bir kişi kodunuzda o sayfayı görüntülediğinde ve yansıyan kodda yalnızca hedef kullanıcı belirli bir hedefi
çalıştırdığında çalıştırılır iyi hazırlanmış veya sizin tarafınızdan yazılmış.
Böylece bir çeşit l'nizi manipüle edip hedefe göndereceksiniz.
Ve siz dışarıda olduğunuzda o hedefi çalıştırdıklarında, kod siz istemcide yazılan javascript
kodundan şafağa dayalı olarak çalıştırılır.
Böylece kod, web sunucusu ile herhangi bir iletişim kurmadan istemci tarafında yorumlanacak
ve çalıştırılacaktır.
Bunlar çok tehlikeli olabilir, çünkü bazen web sunucuları aşırılıkları kontrol etmek için bir çeşit
güvenlik sızıntısı uygularlar.
Ancak Dom tabanlı kod, hiçbir zaman web sunucusuna gönderilmez.
Böylece, kod, web sunucusuyla etkileşime girmeden yorumlanacak ve web tarayıcısında çalıştırılacak ve
bunlar, içeriklerini yenilemeden güncelleyen web web sitelerinde bulunacaktır.
Böylece hepimiz, örneğin kullanıcı adınızı koyduğunuz Web sitelerini kullandık ve web sunucusunu kontrol
etmek zorunda kalmadan hemen yükler veya bir tür dize koyarsınız.
Web sunucusuyla iletişim kurmadan arama yapar veya web sunucusuyla iletişim kurmadan bir şey
yapar.
Yani eğer bunu enjekte edebiliyorsanız, o zaman bu enjeksiyon doğrulanmayacaktır.
Bu nedenle hemen çalıştırılacak ve tüm onaylamaları atlayacaktır.