In this following post we will have

In this following post we will have some basic look over Cross Site Scripting. Cross site scripting is also known as XSS and many times people also abbreviate it as CSS (by the way CSS means Cascading Style Sheets). Commonly XSS is web application attack and not web server attack, it occurs in web application which accepts input without validation and sanitization resulting giving an attacker chance to run a malicious script. XSS vulnerability occurs in a web application due to dynamic nature of a web page which is attained by Java Scripts, VB Scripts, ActiveX controls, Flash contents and scripts and sometimes with help of HTML too.
All those scripts and programming languages that are responsible for dynamic contents over a web page are also responsible for XSS attacks. An attacker can take advantage of XSS vulnerability and execute a malicious Java script, VB Script, ActiveX controls, Flash and HTML.

Most security professionals think XSS is lame game since it does not provide any help compromising a remote system, but this is not cent percent true. When circumstances are right you can surely own a system using XSS attack. Also level of catastrophic conditions depends upon where a vulnerable application is used and for what purpose. For example a bank’s web application XSS vulnerability can lead to serious online theft or an attacker who wants to execute a malicious script over several computers using social network. So in fact XSS is not all lame game as compared to SQL injection, command injection and directory transversal attacks.

XSS attacks can be classified into following two types,
Reflected Attacks
Stored Attacks

An attack where the inserted code is permanently stored in target server is known as Stored XSS Attack. An attack where the injected code needs special route to victim like email or hyperlink is known as Reflected XSS Attacks. XSS attacks executes codes with help of browser because it supports all scripts and ActiveX controls also no matter the attack type is reflected or stored the result of XSS will not differ.

Though this was just basic in future posts we will cover how some real web application hacking takes place therefore for practice you’ll need vulnerable applications. Following is list of vulnerable web applications for practice,

ผลลัพธ์ (ไทย) 1:

ในบทความนี้ต่อไปนี้ เราจะมีลักษณะพื้นฐานบางผ่านข้ามไซต์สคริปต์ ข้ามสคริปต์เรียกว่า XSS และหลายครั้งคนยังเหลือสั้นมันเป็น CSS (โดยวิธี Cascading สไตล์ชีหมายถึง CSS) โดยทั่วไป XSS จะโจมตีเว็บแอพลิเคชันและไม่เว็บเซิร์ฟเวอร์โจมตี มันเกิดขึ้นในแอพลิเคชันเว็บซึ่งยอมรับการป้อนข้อมูล โดยไม่มีการตรวจสอบและการ sanitization ส่งผลให้โอกาสผู้โจมตีจะเรียกใช้สคริปต์ที่เป็นอันตราย เกิดช่องโหว่ XSS ในโปรแกรมประยุกต์เว็บจากธรรมชาติแบบไดนามิกของเว็บเพจซึ่งจะบรรลุ โดย สคริปต์ Java, VB สคริปต์ ActiveX ควบคุม เนื้อหาแฟลช และสคริปต์ และบางครั้ง ด้วยความช่วยเหลือของ HTML มากเกินไป
สคริปต์และภาษาเขียนโปรแกรมที่รับผิดชอบสำหรับเนื้อหาแบบไดนามิกผ่านหน้าเว็บ เหล่านั้นทั้งหมดก็ชอบโจมตี XSS ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ XSS และเรียกใช้สคริปต์จาวาที่เป็นอันตราย VB สคริปต์ ตัวควบคุม ActiveX, Flash และ HTML

ผู้เชี่ยวชาญด้านความปลอดภัยมากที่สุดคิดว่า XSS เป็นเกมที่อ่อนแอเนื่องจากมันไม่ได้ให้ความช่วยเหลือใด ๆ สูญเสียระบบระยะไกล แต่ไม่จริงร้อยละเปอร์เซ็นต์ เมื่อสถานการณ์เหมาะสมคุณก็สามารถเป็นเจ้าของระบบใช้โจมตี XSS นอกจากนี้ ระดับเงื่อนไขที่รุนแรงขึ้น ตามที่มีใช้โปรแกรมประยุกต์ที่มีความเสี่ยง และ เพื่อวัตถุประสงค์ใด เช่น ช่องโหว่ XSS ในแอพลิเคชันเว็บของธนาคารอาจทำให้ขโมยออนไลน์อย่างจริงจังหรือผู้โจมตีที่ต้องการเรียกใช้สคริปต์ที่เป็นอันตรายบนคอมพิวเตอร์หลายเครื่องที่ใช้เครือข่ายสังคม ดังนั้นในความเป็นจริง XSS ไม่ทุกเกมที่อ่อนแอเมื่อเทียบกับ SQL ฉีด ฉีดสั่ง และไดเรกทอรี transversal โจมตีได้

โจมตี XSS สามารถแบ่งได้ดังต่อไปนี้สองชนิด,
สะท้อนโจมตี
โจมตีเก็บไว้

การโจมตีที่รหัสแทรกอย่างถาวรอยู่ในเซิร์ฟเวอร์เป้าหมายเรียกว่าเก็บโจมตี XSS การโจมตีที่เรียกใช้รหัสที่จำเป็นกระบวนการผลิตพิเศษให้เหยื่อเช่นอีเมล์หรือการเชื่อมโยงหลายมิติเรียกว่าโจมตี XSS สะท้อน โจมตี XSS ดำเนินรหัส ด้วยความช่วยเหลือของเบราเซอร์เนื่องจากสนับสนุนสคริปต์ทั้งหมด และตัวควบคุม ActiveX ยังไม่ว่าชนิดโจมตีอยู่เป็นประจำ หรือเก็บผลลัพธ์ของ XSS จะแตกต่างกันไม่

แต่นี้เป็นเพียงพื้นฐานในอนาคต โพสต์เราจะครอบคลุมวิธีบางจริงเว็บแอพลิเคชันข้อมูลทางเกิดดังนั้นการฝึกคุณต้องใช้งานเสี่ยง ต่อไปนี้เป็นรายชื่อของโปรแกรมประยุกต์เว็บที่มีช่องโหว่สำหรับการปฏิบัติ

ผลลัพธ์ (ไทย) 2:

ในการนี้การโพสต์ต่อไปนี้เราจะมีบางลักษณะพื้นฐานกว่าเขียนสคริปต์ข้ามไซต์ การเขียนสคริปต์ข้ามไซต์เป็นที่รู้จักกัน XSS และหลายครั้งคนยังย่อเป็น CSS (โดยวิธี CSS หมายความ Cascading Style Sheets) ทั่วไป XSS คือการโจมตีเว็บแอพพลิเคชันและไม่โจมตีเว็บเซิร์ฟเวอร์มันเกิดขึ้นในโปรแกรมประยุกต์บนเว็บที่รับสัญญาณได้โดยไม่ต้องตรวจสอบและการรักษาสุขอนามัยผลให้โอกาสโจมตีจะเรียกใช้สคริปต์ที่เป็นอันตราย ช่องโหว่ XSS เกิดขึ้นในโปรแกรมประยุกต์บนเว็บเนื่องจากลักษณะของหน้าเว็บที่จะบรรลุโดยจาวาสคริปต์สคริปต์ VB, ตัวควบคุมเนื้อหา Flash และสคริปต์และบางครั้งด้วยความช่วยเหลือของ HTML เกินไป
ทั้งหมดสคริปต์เหล่านั้นและการเขียนโปรแกรมภาษาที่มีความรับผิดชอบ เนื้อหาแบบไดนามิกในหน้าเว็บยังรับผิดชอบในการโจมตี XSS ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ XSS และรันสคริปต์ที่เป็นอันตราย Java, VB สคริปต์ตัวควบคุม ActiveX, Flash และ HTML ส่วนใหญ่ผู้เชี่ยวชาญด้านความปลอดภัยคิดว่า XSS เป็นเกมที่อ่อนแอเพราะมันไม่ได้ให้ความช่วยเหลือผลกระทบต่อระบบจากระยะไกลใด ๆ แต่นี้ไม่ได้ร้อยละ ร้อยละจริง เมื่อสถานการณ์มีสิทธิคุณก็สามารถเป็นเจ้าของระบบโดยใช้การโจมตี XSS นอกจากนี้ยังมีระดับของภาวะภัยพิบัติขึ้นอยู่กับการประยุกต์ใช้ที่มีความเสี่ยงและมีการใช้เพื่อวัตถุประสงค์อะไร ตัวอย่างเช่นช่องโหว่ XSS ธนาคารโปรแกรมประยุกต์บนเว็บสามารถนำไปสู่การโจรกรรมออนไลน์ที่รุนแรงหรือการโจมตีที่ต้องการที่จะรันสคริปต์ที่เป็นอันตรายผ่านทางเครื่องคอมพิวเตอร์หลายเครื่องโดยใช้เครือข่ายทางสังคม ดังนั้นในความเป็นจริงไม่ได้เป็น XSS เกมอ่อนแอทั้งหมดเมื่อเทียบกับการฉีดฉีดคำสั่งและไดเรกทอรีขวางการโจมตีXSS โจมตีสามารถแบ่งได้เป็นสองประเภทดังต่อไปนี้, การโจมตีสะท้อนให้เห็นการโจมตีที่เก็บไว้โจมตีที่ใส่รหัสจะถูกเก็บไว้อย่างถาวรในเซิร์ฟเวอร์เป้าหมายเป็นที่รู้จักกัน เป็นที่เก็บ XSS โจมตี การโจมตีที่รหัสฉีดต้องเส้นทางพิเศษเพื่อเหยื่อเช่นอีเมลหรือเชื่อมโยงหลายมิติเป็นที่รู้จักกันสะท้อนให้เห็นการโจมตี XSS โจมตี XSS รันรหัสด้วยความช่วยเหลือของเบราว์เซอร์เพราะสนับสนุนสคริปต์และ ActiveX ยังควบคุมเรื่องประเภทการโจมตีที่มีการสะท้อนให้เห็นหรือเก็บผลของ XSS จะไม่ได้แตกต่างกันแต่นี้เป็นเพียงขั้นพื้นฐานในอนาคตเราจะครอบคลุมถึงวิธีบางโปรแกรมเว็บจริง แฮ็คจะเกิดขึ้นดังนั้นเพื่อการปฏิบัติงานที่คุณจะต้องใช้งานที่มีความเสี่ยง ต่อไปนี้เป็นรายการของการใช้งานเว็บที่มีช่องโหว่สำหรับการปฏิบัติ

ผลลัพธ์ (ไทย) 3:

โพสต์ในต่อไปนี้เราจะมีลักษณะพื้นฐานการเขียนสคริปต์ข้ามไซต์ . สคริปต์ข้ามไซต์ที่เป็นที่รู้จักกันเป็น xss และหลายครั้งคนยังย่อเป็น CSS ( โดยวิธี CSS หมายความว่า Cascading Style Sheets ) โดยทั่วไป xss คือการโจมตี Web Application และ Web Server โจมตีมันเกิดขึ้นในโปรแกรมประยุกต์บนเว็บซึ่งรับข้อมูลโดยปราศจากการตรวจสอบและสะอาด เป็นผลให้มีโอกาสโจมตีเพื่อเรียกใช้สคริปต์ที่เป็นอันตราย xss ช่องโหว่ที่เกิดขึ้นในโปรแกรมประยุกต์บนเว็บเนื่องจากลักษณะแบบไดนามิกของหน้าเว็บซึ่งเป็นที่บรรลุโดยสคริปต์ VB สคริปต์ Java , ActiveX ควบคุมแฟลชและเนื้อหาสคริปต์และบางครั้งด้วยความช่วยเหลือของ
HTML ด้วยพวกสคริปต์และการเขียนโปรแกรมภาษาที่มีความรับผิดชอบสำหรับเนื้อหาแบบไดนามิกมากกว่าหน้าเว็บยังรับผิดชอบในการโจมตี xss . ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่และรัน xss เป็นอันตรายจาวาสคริปต์ VB Script ควบคุม ActiveX , Flash และ HTML .

ส่วนใหญ่การรักษาความปลอดภัยผู้เชี่ยวชาญคิดว่า xss เป็นง่อยตั้งแต่เกมมันไม่ได้ให้ช่วยประนีประนอมระยะไกลระบบแต่นี้ไม่ได้เป็นร้อยละจริงร้อยละ เมื่อสถานการณ์เหมาะสม คุณก็สามารถเป็นเจ้าของระบบที่ใช้ xss โจมตี นอกจากนี้ระดับของเงื่อนไขที่รุนแรงขึ้นอยู่กับการเสี่ยงที่ใช้เพื่อวัตถุประสงค์อะไรตัวอย่างเช่นโปรแกรมประยุกต์บนเว็บของธนาคาร xss ช่องโหว่สามารถนำไปสู่การโจรกรรมออนไลน์ร้ายแรงหรือโจมตีใครต้องการที่จะรันสคริปต์ที่เป็นอันตรายกว่าหลายเครื่องคอมพิวเตอร์โดยใช้เครือข่ายทางสังคม ดังนั้นในความเป็นจริง xss ไม่ได้ทุกเกมส์ที่น่าเบื่อเมื่อเทียบกับการฉีด SQL injection คำสั่งและการโจมตีของไดเรกทอรีขวาง

xss การโจมตีสามารถแบ่งได้เป็น 2 ประเภท ดังต่อไปนี้ , สะท้อนการโจมตีการโจมตี


เก็บไว้
การโจมตีที่แทรกรหัสถาวรที่เก็บไว้ในเซิร์ฟเวอร์เป้าหมายเรียกว่าเก็บไว้ xss โจมตี การโจมตีที่ฉีดรหัสความต้องการเส้นทางพิเศษเพื่อเหยื่อเช่นอีเมลหรือเชื่อมโยงหลายมิติที่เรียกว่าสะท้อนการโจมตี xss .การโจมตี xss รันรหัสด้วยความช่วยเหลือของเบราว์เซอร์เพราะมันสนับสนุนทั้งหมดสคริปต์และตัวควบคุม ActiveX ยังไม่ว่าประเภทการโจมตีสะท้อน หรือเก็บผล xss จะไม่แตกต่าง

แม้ว่านี้เป็นเพียงพื้นฐานในการโพสต์ในอนาคตเราจะครอบคลุมวิธีการบางจริงเว็บโปรแกรมแฮ็คเกิดขึ้นดังนั้นการปฏิบัติคุณจะต้องการใช้งานที่เปราะบางต่อไปนี้คือ รายการของโปรแกรมเว็บง่ายสำหรับฝึก