XSS hücumları: üç növü və çoxqatlı müdafiə

XSS hücumunda təcavüzkar sizin saytınızın adından istifadəçinin brauzerində kod icra edir. Nəticə: sessiya oğurluğu, saxta formalar, hesab ələ keçirmə.

Üç növ

• Əks olunan (reflected) — zərərli kod URL parametrindən birbaşa səhifəyə düşür
• Saxlanılan (stored) — kod bazaya yazılır və hər baxışda icra olunur; ən təhlükəlisidir
• DOM əsaslı — server deyil, brauzerdəki JavaScript kodu təhlükəsiz olmayan yazma əməliyyatı aparır

Müdafiə qatları

1. Çıxışda kontekstə uyğun kodlaşdırma tətbiq edin (HTML, atribut, JS, URL üçün ayrı)
2. innerHTML, dangerouslySetInnerHTML və eval istifadəsindən imtina edin
3. Zəruri HTML-i DOMPurify kimi kitabxana ilə təmizləyin
4. CSP ilə inline skriptləri bloklayın
5. Sessiya kukilərini HttpOnly edin ki, oğurluq təsiri azalsın