⚔️ XSS Nedir? Siteler Arası Komut Dosyası Çalıştırma Saldırısı
XSS (Cross-Site Scripting), web uygulamalarındaki güvenlik açıklarından biridir ve saldırganların kötü niyetli komut dosyalarını (genellikle JavaScript) diğer kullanıcıların tarayıcılarında çalıştırmasına olanak tanır. Bu, oturum çerezlerinin çalınmasına, kullanıcıların kimlik bilgilerinin ele geçirilmesine veya web sitesinin içeriğinin değiştirilmesine kadar varan ciddi sonuçlar doğurabilir.
🛡️ XSS'in Temel İlkeleri
- 🎯 Enjeksiyon: Saldırgan, web sitesine kötü niyetli bir komut dosyası enjekte eder. Bu genellikle bir form aracılığıyla, URL parametreleri yoluyla veya başka bir giriş noktası üzerinden yapılır.
- 💥 Yürütme: Web sitesi, saldırganın enjekte ettiği komut dosyasını diğer kullanıcılara sunar. Bu komut dosyası, kullanıcıların tarayıcılarında çalışır ve saldırganın istediği eylemleri gerçekleştirmesine olanak tanır.
- 😈 Sonuçlar: Saldırgan, kullanıcıların oturum bilgilerini çalabilir, web sitesinin içeriğini değiştirebilir, kullanıcıları kötü niyetli sitelere yönlendirebilir veya daha karmaşık saldırılar gerçekleştirebilir.
📌 XSS Türleri
XSS saldırıları genellikle üç ana kategoriye ayrılır: Yansıyan (Reflected), Depolanmış (Stored) ve DOM tabanlı (DOM-based).
💣 Yansıyan XSS (Reflected XSS)
- 🔦 Nasıl Çalışır: Saldırgan, kötü niyetli komut dosyasını içeren bir bağlantı oluşturur ve kurbanı bu bağlantıya tıklamaya ikna eder. Bağlantıya tıklandığında, komut dosyası sunucuya gönderilir ve sunucu, komut dosyasını içeren bir yanıtla kurbana geri gönderir. Tarayıcı, yanıtı işlerken komut dosyasını çalıştırır.
- 🔑 Örnek: Bir arama motorunda, arama terimi sonuç sayfasında görüntüleniyorsa, saldırgan arama terimi olarak kötü niyetli bir JavaScript kodu gönderebilir.
- 🚨 Korunma: Giriş verilerini doğru şekilde temizlemek (sanitize) ve çıkış verilerini kodlamak (encode) önemlidir.
💾 Depolanmış XSS (Stored XSS)
- 🗄️ Nasıl Çalışır: Saldırgan, kötü niyetli komut dosyasını web sitesinin veritabanına kaydeder. Bu, bir yorum, profil bilgisi veya başka bir kullanıcı tarafından oluşturulan içerik aracılığıyla yapılabilir. Diğer kullanıcılar bu içeriği görüntülediğinde, komut dosyası çalışır.
- 📝 Örnek: Bir blog sitesinde, saldırgan yorum olarak kötü niyetli bir JavaScript kodu gönderebilir. Diğer kullanıcılar bu yorumu görüntülediğinde, komut dosyası çalışır.
- ✅ Korunma: Tüm kullanıcı girişlerini dikkatlice doğrulamak ve kodlamak, HTML etiketlerini filtrelemek ve içerik güvenlik politikalarını (CSP) uygulamak önemlidir.
⚙️ DOM Tabanlı XSS (DOM-based XSS)
- 🔩 Nasıl Çalışır: Saldırgan, kötü niyetli komut dosyasını doğrudan web sayfasının Document Object Model'ine (DOM) enjekte eder. Bu, sunucu tarafında herhangi bir değişiklik yapılmadan, tamamen istemci tarafında gerçekleşir.
- 🧩 Örnek: Bir web sitesi, URL'deki bir parametreyi alıp doğrudan bir JavaScript fonksiyonuna geçiriyorsa, saldırgan bu parametreyi kötü niyetli bir komut dosyasıyla değiştirebilir.
- 🛡️ Korunma: JavaScript kodunda güvenilmeyen kaynaklardan gelen verileri kullanmaktan kaçınmak ve DOM'u manipüle ederken dikkatli olmak önemlidir.
🛡️ XSS'e Karşı Savunma Stratejileri
XSS saldırılarına karşı korunmak için çeşitli yöntemler bulunmaktadır. Bunlar arasında girdi doğrulama, çıktı kodlama, içerik güvenlik politikaları (CSP) ve çerçeve seçenekleri yer almaktadır.
🗝️ Girdi Doğrulama (Input Validation)
- 🔑 Ne İşe Yarar: Kullanıcıdan alınan tüm verilerin beklenen formatta ve uzunlukta olduğundan emin olun. Geçersiz karakterleri filtreleyin ve HTML etiketlerini temizleyin.
- 🛠️ Nasıl Yapılır: Düzenli ifadeler (regular expressions) kullanarak veya özel doğrulama fonksiyonları yazarak girdi doğrulama işlemlerini gerçekleştirebilirsiniz.
🔒 Çıktı Kodlama (Output Encoding)
- 🔑 Ne İşe Yarar: Web sayfasında görüntülenen tüm verilerin, tarayıcı tarafından doğru şekilde yorumlanmasını sağlayın. HTML, JavaScript ve URL kodlaması gibi farklı kodlama yöntemleri kullanarak, kötü niyetli komut dosyalarının çalışmasını engelleyin.
- 🛠️ Nasıl Yapılır: Sunucu tarafında veya istemci tarafında kodlama kütüphaneleri kullanarak çıktı kodlama işlemlerini gerçekleştirebilirsiniz.
🛡️ İçerik Güvenlik Politikası (CSP)
- 🔑 Ne İşe Yarar: Tarayıcıya, hangi kaynaklardan (örneğin, komut dosyaları, stil sayfaları, resimler) içerik yükleyebileceğini bildirerek, XSS saldırılarının etkisini azaltın.
- 🛠️ Nasıl Yapılır: HTTP başlıklarında veya HTML meta etiketlerinde CSP politikalarını tanımlayabilirsiniz. Örneğin: ``
