Zaid: ตอนนี้เรามาพูดถึงวิธีที่เราสามารถป้องกันช่องโหว่
XSS ได้
วิธีที่ช่องโหว่เหล่านี้เกิดขึ้นเนื่องจากเมื่อใดก็ตามที่ผู้ใช้ป้อนบางสิ่งลงในกล่องข้อความหรือลงในพารามิเตอร์
อินพุตนั้นจะแสดงเป็น HTML
ดังนั้นจึงถือว่าเป็นส่วนหนึ่งของหน้า
ดังนั้น หากมี JavaScript อยู่ในหน้า
โค้ดก็จะถูกดำเนินการ
ดังนั้น เพื่อป้องกันการเอารัดเอาเปรียบนี้ สิ่งที่ดีที่สุดที่ควรทำคือพยายามลดการใช้ข้อมูลที่ไม่น่าไว้วางใจให้เหลือน้อยที่สุด
ดังนั้นเมื่อใดก็ตามที่ผู้ใช้ป้อนข้อมูลบางอย่างหรือทุกครั้งที่มีการป้อนข้อมูลจากพารามิเตอร์
พยายามย่อให้เล็กที่สุด
นอกจากนี้ ตรวจสอบให้แน่ใจว่าคุณหลีกเลี่ยงสิ่งที่จะแสดงหรือนำไปใช้ในหน้า
HTML เสมอ เนื่องจาก XSS ไม่เพียงสามารถแทรกเข้าไปในตำแหน่งที่แสดงสิ่งต่างๆ
บนหน้าเท่านั้น แต่ยังสามารถแทรกเข้าไปในพารามิเตอร์ขององค์ประกอบบางอย่างของ
หน้า HTML
ดังนั้นสิ่งที่ผมหมายถึงการหลบหนีคือการแปลงอักขระเหล่านี้แต่ละตัวเป็นอักขระที่จะแสดงใน
HTML
คุณสามารถทำได้โดยใช้สคริปต์ และคุณสามารถทำได้โดยใช้สคริปต์ของคุณเอง
ตอนนี้ให้ฉันแสดงให้คุณเห็นว่าสิ่งนี้เกิดขึ้นได้อย่างไร
ตอนนี้ฉันอยู่ที่หน้าเว็บที่มีช่องโหว่ซึ่งเราใช้อยู่
และฉันจะไปที่หน้าจัดเก็บข้อมูล
และแน่นอน คุณจะเห็นได้ว่าทุกครั้งที่เราคลิกบนนั้น
XSS จะทำงาน
ลองตรวจสอบองค์ประกอบนี้
ตอนนี้องค์ประกอบนี้เป็นที่ที่เราส่งการแจ้งเตือนของเรา
และถ้าเราคลิกขวาแล้วไปตรวจสอบองค์ประกอบ
จะแสดง HTML ของหน้านี้ หรือ HTML ขององค์ประกอบเฉพาะที่นี่ซึ่งไฮไลต์ไว้ที่นี่
ดังนั้นฉันจะทำให้มันใหญ่ขึ้น
และถ้าเราดูตรงนี้ คุณจะเห็นว่าเรามีชื่อ
นั่นคือ Zaid
จากนั้นอินพุตอื่น ๆ ซึ่งก็คือข้อความ มันคือสคริปต์
และสคริปต์ที่สคริปต์ใช้เตือนความจำ
นั่นคือสิ่งที่เราใส่เข้าไปเมื่อเราแสดงความคิดเห็น
ดังนั้นทุกครั้งที่เราอยู่ในหน้านี้
โค้ดชิ้นนี้จะถูกเรียกใช้งาน ดังนั้นสิ่งที่เราต้องทำคือเราต้องแน่ใจว่าทุกครั้งที่ผู้ใช้ป้อนบางสิ่งและบางสิ่งจะถูกแสดงบนหน้าเว็บ
หรือไม่เช่นนั้น บางสิ่งจะถูกนำไปใช้ที่ไหนสักแห่ง
ในองค์ประกอบ
ดังนั้นแม้แต่ ID ที่นี่หรือแม้กระทั่ง
H, ID เป็นเพียงตัวอย่าง, เป็นพารามิเตอร์ของ div, ไม่แสดง, คุณไม่เคยเห็น ID นี้ แต่สามารถฉีดได้,
ฉีดได้เช่นกัน
ดังนั้นแฮ็กเกอร์จึงสามารถลองแทรกข้อมูลลงในพารามิเตอร์ได้
พวกเขาสามารถลองแทรกข้อมูลลงในแอตทริบิวต์ของรูปภาพได้
ตัวอย่างเช่น พวกเขาสามารถใส่รูปภาพและแทรกข้อมูลลงในแหล่งที่มาหรือลงใน URL
นี่เป็นเพียงตัวอย่างที่นี่
และทุกครั้งที่ผู้ใช้ป้อนข้อมูลจะถูกใช้ที่ใดก็ได้บนหน้าเว็บ
ดังนั้นแม้ว่าคุณจะไม่เห็น แต่หากปกติไม่เห็น
คุณต้องแน่ใจว่าคุณหลีกเลี่ยงอินพุตนั้นและทำให้แน่ใจว่า ไม่มีรหัสใด ๆ และหากมีรหัสใด ๆ ที่แปลงเป็นรหัสที่เทียบเท่า
รหัสจะไม่ทำงาน
มันถูกแปลงให้เทียบเท่ากับ HTTP ดังนั้นเมื่อคุณหลีกเลี่ยงสิ่งนี้
คุณจะเห็นสิ่งนี้ในข้อความจริง ๆ
ดังนั้นคุณจึงเห็นข้อความเป็นสคริปต์แจ้งเตือน
XSS แต่จะไม่มีการดำเนินการใดๆ
สคริปต์นี้จะไม่ทำงานจริงกับบุคคลเป้าหมายเมื่อเรียกใช้
ตอนนี้ในฐานะผู้ใช้ เพื่อป้องกันไม่ให้คุณถูกนำไปใช้ในการโจมตี
XSS
ตอนนี้ URL ที่มาถึงคุณอาจดูเหมือน
URL ของเว็บไซต์ที่เชื่อถือได้ ตัวอย่างเช่น
สมมติว่าคุณทำงานในบริษัทและมี
XSS ในบริษัทของคุณ และคุณกำลังเข้าสู่ระบบบริษัทของคุณและรหัสจะถูกดำเนินการ กับคุณแล้วไม่มีอะไรมากที่คุณสามารถทำเองได้
แต่คุณต้องระวัง
ดังนั้นด้วย BeEF เราจึงเห็นการใช้ประโยชน์จากช่องโหว่ต่างๆ
เช่น การอัปเดตปลอม
ดังนั้น ตรวจสอบให้แน่ใจว่าเมื่อคุณได้รับข้อความเสมอว่ามีการอัปเดต
ตรวจสอบให้แน่ใจว่าคุณไปที่เว็บไซต์ที่ให้บริการแอปพลิเคชันนั้นจริงๆ
ดังนั้นหาก Firefox
บอกว่ามีการอัพเดท ให้ไปที่เว็บไซต์ของ Firefox และดูว่ามีการอัพเดทจริงหรือไม่
และถ้ามี ให้ดาวน์โหลดจากเว็บไซต์นั้น อย่าดาวน์โหลดจากการแจ้งเตือนที่คุณได้รับ
ตรวจสอบให้แน่ใจว่าคุณกำลังดาวน์โหลดจากเว็บไซต์ HTTPS
และเมื่อคุณดาวน์โหลดแล้ว คุณสามารถตรวจสอบและตรวจสอบแบบเดียวกับที่เราเคยเห็นมาก่อนเพื่อให้แน่ใจว่าไม่มีแบ็คดอร์หรืออะไรอยู่ในนั้น
คุณยังสามารถตรวจสอบ md5sum ได้ เพื่อให้แน่ใจว่าไม่มีการจัดการไฟล์ในขณะที่กำลังดาวน์โหลด
เช่นเดียวกันเมื่อเราทำการเข้าสู่ระบบ Facebook
ปลอมเมื่อคุณอยู่กับ BeEF ดังนั้นสิ่งที่คุณทำได้คือเมื่อใดก็ตามที่คุณได้รับแจ้งว่าคุณออกจากระบบแล้ว
โปรดกลับเข้าสู่ระบบใหม่อีกครั้ง เพิกเฉยต่อสิ่งนั้น
ไปที่เฟสบุ๊ค com ตรวจสอบให้แน่ใจว่ามันทำงานผ่าน HTTPS
จากนั้นลงชื่อเข้าใช้ Facebook
ดังนั้น พยายามระมัดระวังเสมอเมื่อมีการแจ้งเตือนปรากฏขึ้นเพื่อแจ้งว่าคุณจำเป็นต้องทำสิ่งต่างๆ
ระวังและอย่าไว้ใจพวกเขาเสมอ