Mənası: Saytlararası skript – veb sistemlərinə hücum növlərindən biri. Veb-səhifəyə zərərli kodun yerləşdirilməsinə və bu kodun bədniyyətlinin veb-serveri ilə qarşılıqlı əlaqəsinə imkan verən bir təhlükəsizlik zəifliyidir.
Tərif
Cross-site scripting (XSS), veb tətbiqlərinə qarşı yönəlmiş bir hücum növüdür. Hücumçu, qurbanın veb brauzerinə zərərli skript kodunu yerləşdirmək üçün veb səhifəsinin zəifliyindən istifadə edir. Bu skript, qurbanın brauzerində icra olunaraq, məlumat oğurlamaq, sessiya oğurlamaq, veb səhifəni dəyişdirmək və ya digər zərərli əməliyyatları yerinə yetirmək üçün istifadə oluna bilər.
XSS növləri
- Reflected XSS (Əks olunan XSS): Zərərli skript, veb səhifəsinə sorğu vasitəsilə göndərilir və server tərəfindən qurbanın brauzerinə geri göndərilir. Məsələn, axtarış formasına zərərli skript daxil edildikdə bu baş verə bilər.
- Stored XSS (Saxlanılan XSS): Zərərli skript, veb serverdə (məsələn, verilənlər bazasında) saxlanılır və veb səhifə yükləndikdə qurbanın brauzerində icra olunur. Məsələn, forumlarda və ya bloglarda zərərli kodlu şərhlər saxlanıla bilər.
- DOM Based XSS (DOM əsaslı XSS): Zərərli skript, brauzerin Document Object Model (DOM) manipulyasiyası ilə icra olunur və serverə sorğu göndərilmir. Bu üsul, klient tərəfindəki jаvascript kodunun zəifliklərindən istifadə edir.
Təhlükələr
- Məlumat oğurluğu: Kuki, giriş məlumatları və digər həssas məlumatların oğurlanması.
- Sessiya oğurluğu: Qurbanın veb səhifəyə daxil olma sessiyasının oğurlanması.
- Veb səhifənin dəyişdirilməsi: Veb səhifənin məzmununun dəyişdirilməsi və ya təhrif edilməsi.
- Phishing hücumları: Qurbanları saxta veb səhifələrə yönləndirmək.
Qorunma üsulları
XSS hücumlarından qorunmaq üçün bir sıra tədbirlər görülməlidir, bunlara aşağıdakılar daxildir: giriş validasiyası, çıxış kodlaşdırması (output encoding), HTTPOnly kukilərin istifadəsi, Content Security Policy (CSP) tətbiqi və daha çox.
İstifadə sahələri
Bu termin əsasən kompüter elmləri, kiber təhlükəsizlik, veb inkişafı və proqram təminatı təhlükəsizliyi sahələrində istifadə olunur.