XSS ölüyor mu?

PHP 5.2 ile beraber PHP'de setcookie() fonksiyonuna 7.parametre olarak httponly desteği gelmiş.

Httponly çerezlere Javascript ile ulaşılamadığı için xss ataklarının en tehlikelisi olan cookie çalma olayı ortadan kalkıyor.

Şu an tek sorun her tarayıcı tarafından desteklenmemesi, ama yakında bir çok tarayıcı yeni sürümünde bu standartlara uyacaktır tahminimce.IE 7 ile en güvenli şekilde bu özelliği destekliyor, fakat mozilla şaşırtıcı bir şekilde desteklemiyor.

Destekleyen tarayıcılar:
* IE 6.0 SP1 and later - prevents reading, but not over-writing (still allows preset CSRF attacks)
* IE 7.0 - prevents reading and writing - safest
* Safari 1.3 and later - prevents reading
* Opera 8 and later - prevents reading
* Mozilla - not supported
* Firefox - not supported
* IE 5.x for Mac - will actually fail to render the page. Use browser detection to encourage them to migrate to Safari or Firefox once it supports HttpOnly

Bu adreste mozilla tabanlı tarayıcılar için potansiyel çözümler var.

Konu ile ilgili kaynaklar: #1 , #2

Görüşler

belfagor
13 yıl önce

Mozillanın desteklememesi tuhaf. Mic bile desteklerken Mozillanın böyle yapması....

Ama eminimki yeni sürümlerde bu desteği görücez.

yilmaz
13 yıl önce

XSS açığı benim doğru dürüst kod yazamamamdan kaynaklanan bir durum değil mi? Bunu artık tarayıcı kodlayan kişiler mi düşünmek zorunda artık?

arsenelupin
13 yıl önce

Herkes birlikte düşünmek zounda.

Sonuçta kodu yazan kim olursa olsun insan ve dolayısıyla "insani hatalar" her zaman söz konusu olabilir. Elbette gerekli önlemleri alarak xss ve diğer sıkça görülen açıkların üstesinden doğrudan php katmanında gelinebilir, öte taraftan, insani hatalara karşı birden fazla güvenlik katmanının bulunması her zaman tercih edilen bir durum olmalı gibime geliyor.

Yine de itiraz edilecekse, kanımca birden fazla güvenlik katmanı bulunmasının, kod yazan kişiyi zihinsel tembelliğe itmesi ve kişinin "nasıl olsa tarayıcıya takılır" düşüncesiyle yazdığı koda gereken özeni göstermemesi noktasında itiraz edilebilir.

Yns_
13 yıl önce

Xss her zaman kod yazarı ile alakalı bir durum olmuyor, tarayıcıların yorumlama farkları yüzünden xss zayıflıkları ortaya çıkabiliyor.Örneğin aşağıdaki kodu IE javascipt olarak çalıştırıyor.

<IMG STYLE="xss:expr/*XSS*/ession(alert('XSS'))">

Projeniz öyle bir proje ki, bazı html etiketlerine izin veriyorsunuz.İçinde IMG'de var..Şimdi elinizde böyle bir veri var, ve buna benzer milyonlarca yorumlama farkından doğan zayıflık olabilir.

Javascript ile ulaşamayacak bir cookie göndermek varken, yukardaki yorumlama farkları için standart değerleri aldıktan sonra beyaz liste oluşturup mu kontrol ederdiniz?
(Biz ikincisini yaptık, yüzlerce satır ekstradan kod yazmak durumunda kalıyorsunuz.)

Şahsen ben tarayıcıları yeterince düşündüm, birazda onlar bizi düşünsün.

anonim
13 yıl önce

Beyaz liste ve karaliste zaten kullanılması gereken önlemler bana kalırsa.
Diğer taraftan bu tip durumlar için daha kesin çözüm mod_security gibi web uygulamaları için geliştirilmiş ids leri kullanmaktır bence. 2 satırlık bir kuralla hemen hemen bütün XSS saldırılarının önünü kesersiniz.

Yns_
13 yıl önce

IE'nin yorumlama farkı olmasa yukarıda bahsettiğim problem karaliste yöntemi ile kolayca çözülebiliyor.

Ama bu konuda iş beyaz liste oluşturmaya gelince elinizde milyonlarca html attribute bulunan bir array'la uğraşmak zorunda kalıyorsunuz..

anonim
13 yıl önce

Evet beyaz liste biraz zahmetli ama IE olmasa bile dahi güvenlik açısından beyaz liste tercih edilmeli bana kalırsa.

Diğer taraftan baştada söylediğim gibi mod_securty benzeri uygulamalarla sorunu çözmek mümkün ama yalnızca mod_security veya yalnızca dispatcher kullanarak güvenliği tek katmana indirgemiş oluyorsunuz. Tabi bu da aslında risk ve kaynak yönetimi ile ilgili bir konu biraz da...

selam
13 yıl önce

Unutulmamalıdır ki her kod yazan kişinin elinde istediği gibi yönlendirebileceği bir sunucu yada sistem yöneticisi yok. Kaldı ki "yaşasın artık Javascript ile Cookie'lerimi çalamayacaklar" diye form yada benzeri yerlerden gelen veri alanlarını kontrol etmeyi bırakmamalıyız. Hala dünyada eski sürüm tarayıcı kullanan insanlar olacaktır. Bu liste kullanımı uzun bir süre daha devam edecektir hatta etmelidir.

gCg
13 yıl önce

tarayıcı destekleri bir yana sunucu desteği biraz daha kaygılandırıyor beni. linux sunucuların büyük bir yüzdesinde kullanılan cpanel henüz php4 olduğu için hala sunucuların bir çoğu php4 destekliyor.

php5'e geçiş için daha zaman var gibi gelmekte.

PHP-HuNTeR
13 yıl önce

ewet php5 için zaman var gibi gözküyor çünkü Host firmalarının işine gelmiyor o kdr forumu host ederken, php sürümünü değiştirince ortaya çıkan sorunlarla uğraşmak

wookiert-
13 yıl önce

Bu baslik XSS'i cookie calmaktan ibaret sananlarin dustugu bir yanilgidan ortaya cikmis olsa gerek. Bunun disinda, insanlarin javascript konusunda obsesif olmasini ilginc buldugumu ekleyeyim. Tarayicilarda calistirilabilen kod javascriptle kisitli degil. XSS icin Flash objeleri, Java vs. bir cok seyi kullanmak mumkun.

XSS in bence asil tehlikeli oldugu yer stored xss dedigimiz kisim. Kullaniciya sunulan cikti htmlencode edilmedigi surece de bu sorun kolay kolay cozumlenebilecek gibi gozukmuyor.

Yns_
13 yıl önce

Insanlar neden okumaktan acizler...

anonim
13 yıl önce

Pardon, bir sey mi kacirdim? Daha net olabilir misiniz?

Görüş belirtmek için giriş yapın...

İlgili Yazılar

Açık Sistemler ve Güvenlik - 1

FZ
12 Kasım 2002, 19 dakika okuma süresi

"Güvenlik bir ürün değil süreç meselesidir." Bruce Schneier

Neden Güvenlik?

Sevgilinize yazdığınız özel(!) bir e-posta başkaları tarafından kolayca okunabilse kendinizi nasıl hissederdiniz? Ya da bir ihale için hazırladığınız elektronik belgelerle ilgili tüm detaylar rakipleriniz tarafından bir güzel okunsa? Olay yaratacak haberinizdeki en kritik ve gizli noktalar sizinle rekabet eden birileri tarafından kolayca ele geçirilirse ve kendi imzaları ile yayınlansa nasıl bir ruh hali içinde olursunuz?

DDoS şirket iflas ettirdi

conan
1 Şubat 2002, 1 dakika okuma süresi

İngiltere'nin en eski İnternet Servis Sağlayıcılarından CloudNine Communications yaşadığı yoğun Distributed Denial of Service (DDoS) atakları sonucunda geçen hafta şirketi rakibine sattığını açıkladı! Yaşadıkları yoğun ataklar sonucunda müşterilerine hizmet verememekten dolayı gelirleri sürekli olarak düşen şirket en sonunda 2500 müşterisiyle birlikte rakibi ZetNet'e satıldı. Kurucularından Emeric Miszti'nin dediğine göre basit olarak sitelerini bakım nedeniyle çok uzun süreli kapamak zorunda kalmışlar ve sonunda düşünüp taşınıp şirketi ZetNet'e satmaya karar vermişler.

100.000 $ isteyen

anonim
16 Nisan 2002, 1 dakika okuma süresi

$100.000`lık Hacking Yarışması.Korea Digital Works`un düzenlediği yarışma`da firmanın güvenlik programı olan WOKS tarafından korunan servera ilk erişim hakkı kazanan ve ismini sitenin index`ine yazan Hacker`a tam $100.000 ödül verilecek.

Parmak İzinize Güvenmeyin!

FZ
21 Mayıs 2002, 1 dakika okuma süresi

Yani teorik olarak güvenin tabii, iki kişinin aynı parmak izine sahip olması çok ama çok düşük olasılık ama konumuz şu ki Japon şifre uzmanı Tsutomu Matsumoto herhangi bir elektronik hobi dükkanında bulunabilen malzemeleri ve bilgisayarını kullanarak endüstride yaygın olarak kullanılan 11 parmak izi biyometrik güvenlik donanımını kandırmayı başarmış!

Bu vesile ile ve NEC'in geliştirdiği süperbilgisayarı da hatırlatarak "abi Japonlar yapmış" geyiğine son verilmesi, bunun bir geyik değil düpedüz gerçek olduğunun kabul edilmesi kampanyası başlatıyorum! :)

Ücretsiz Metasploit Eğitimi

parsifal
23 Ekim 2009, 1 dakika okuma süresi

Backtrack geliştiricilerinin kurmuş olduğu Offensive Security grubunun, üzerinde zaman harcayarak hazırlamış oldukları ücretsiz eğitim serisininden bir yeni eğitim: Metasploit Unleashed - Mastering the Framework