Kuidas vältida saidiülest skriptimist?

Kuulake seda artiklit

Kas olete mures saidiüleste rünnakute pärast oma saidil? Fakt on see, et saidiülesed skriptimisrünnakud on väga levinud. Ja on täiesti võimalik, et teie saiti ründab varem või hiljem saidiülene skriptimine.

Seda tüüpi rünnakute puhul kasutavad häkkerid külastaja brauserit teie veebisaidi ründamiseks. Kui nad saavad juurdepääsu teie veebisaidile, saavad nad muu hulgas varastada tundlikke andmeid, salvestada ebaseaduslikke faile ja kaustu, suunata teie külastajad teistele pahatahtlikele saitidele, manipuleerida otsingutulemustega rämpsposti märksõnadega, käivitada rünnakuid muude veebisaitide vastu. Sellised pahatahtlikud tegevused võivad teie veebisaidi hävitada.

Rünnak aeglustab teie saiti ja mõjutab teie saidi asetust otsingumootorites. Kogete liikluse vähenemist ja lõpuks kannatab teie sissetulek.

Sündmused võivad muutuda lumepalliks ja kasutajad näevad ees hoiatusi, nagu petlik sait, see sait võidakse teie veebisaidile otsingutulemustes sisse häkkida, Google võib teie saidi musta nimekirja lisada ja teie hostiteenuse pakkuja võib teie saidi peatada.

Kuid ärge muretsege, saate seda kõike oma veebisaidil ära hoida, tehes saidiülese skriptimise vältimiseks mõned lihtsad toimingud. Selles artiklis aitan teil astuda õigeid samme, et kaitsta oma veebisaiti saidiüleste skriptirünnakute eest.

Artikli sisu:

• Mis on saidiülene skriptimise (XSS) rünnak?
• Millised on XSS-i või saidiüleste skriptirünnakute tüübid?
• Meetmed saidiülese skriptimise vältimiseks

Mis on saidiülene skriptimise (XSS) rünnak?

Saidiülese skriptirünnaku korral tungib häkker külastajana esinedes veebisaidile. Parim viis seda tüüpi rünnakute mõistmiseks on jälgida samme, mida häkker rünnaku sooritamiseks teeb.

• Enamikul veebisaitidel on sisestusväljad (nt kontaktivorm, registreerimisvorm või kommentaaride jaotis), mis võimaldavad külastajatel veebisaidile andmeid sisestada.
• Need väljad lubab pistikprogramm. Reeglina jälgivad pistikprogrammid, et väljadele sisestatud andmed pole pahatahtlikud, näiteks koodijupi. Kui aga pluginatel tekib XSS-i haavatavus, võivad need lubada külastajal sisestada pahatahtlikke või ebausaldusväärseid andmeid.

Näiteks võimaldab haavatav kommentaaride pistikprogramm külastajatel sisestada pahatahtlikke linke.

• Kui klõpsate lingil, aktiveeritakse pahatahtlik kood või pahatahtlik javascript ja teilt küsitakse luba brauseri küpsistele juurdepääsuks.
• Näib, et teie veebisait palub teil täita teatud funktsiooni. On väga tõenäoline, et jääte selle triki alla ja lubate juurdepääsu oma brauseri küpsistele.

Lubades juurdepääsu oma brauseri küpsistele, avaldate häkkerile tundlikku teavet.

• Brauseri küpsised salvestavad igasugust teavet, sealhulgas teie sisselogimismandaate. Saades juurdepääsu teie sisselogimismandaatidele, võib häkker teiena esineda ja teie veebisaidile siseneda.

Millised on XSS-i või saidiüleste skriptirünnakute tüübid?

Saidiüleseid skriptirünnakuid on kahte tüüpi. See:

• Salvestatud (või püsiv) XSS-rünnak. Selle rünnaku sihtmärk on veebisaidi külastaja.
• Peegeldunud (või mittepüsiv) XSS-rünnak. Seda tüüpi rünnaku sihtmärk on veebisait.

Saidiülesed skriptirünnakud toimuvad haavatavate pistikprogrammide tõttu. Häkkerid roomavad Internetis, otsides veebisaiti, kasutades haavatavaid pistikprogramme, nagu vormi- või kommentaaripluginad. Need pistikprogrammid põhjustavad tavaliselt kasutaja sisendi valideerimise probleeme. Niipea, kui nad avastavad haavatavat pistikprogrammi kasutava veebisaidi, hakkavad nad ründama.

Lõpuks saavad häkkerid ligipääsu ohvri brauseri küpsistele, mis salvestavad muu hulgas olulist teavet, nagu veebisaidi sisselogimismandaadid, e-panganduse mandaadid, Facebooki ja e-posti mandaadid.

Kui häkkeri peamine eesmärk on teie saidile sisse murda, hangib ta välja saidi sisselogimismandaadid. Seda nimetatakse peegeldavaks XSS-rünnakuks. Kuid kui häkker sihib kasutajaid või saidi külastajaid, hangivad nad välja e-panganduse, Facebooki ja Gmaili mandaadid. Seda nimetatakse salvestatud XSS-rünnakuks või püsivaks XSS-rünnakuks.

Nüüd, kui mõistate saitidevahelist skriptimist ja selle erinevaid vorme, vaatame, kuidas kaitsta oma veebisaiti seda tüüpi häkkimise eest.

Meetmed saidiülese skriptimise vältimiseks

WordPressi saidid luuakse pistikprogrammide ja teemade abil. Enamikul saitidel on sisestusplugin, mis sisaldab kontaktivormi või kommentaaride jaotist, mis võimaldab külastajatel andmeid sisestada.

Paljud sisendpluginad arendavad aja jooksul XSS-i haavatavusi. Nagu me varem arutasime, võivad häkkerid kasutada haavatavusi teie saidiüleste rünnakute käivitamiseks. Kuna pistikprogramm on veebisaidi oluline osa, ei saa te seda lihtsalt eemaldada. Mida saate teha, on võtta meetmeid, et vältida XSS-i rünnakuid teie saidil.

Näitan teile 5 meedet, mida peate oma saidil rakendama, et vältida xss-i haavatavusi ja kaitsta end XSS-i rünnakute eest.

1. Installige turbeplugin
2. Installige pistikprogramm Prevent XSS Vulnerability Plugin
3. Enne postitamist vaadake kommentaarid üle
4. Värskendage oma pistikprogramme
5. Kasutage tuntud turgude pistikprogramme

1. Installige turbeplugin

Hea turbeplugin kaitseb teie saiti WordPressi tulemüüriga ja võimaldab teil saidi turvameetmeid rakendada.

WordPressi tulemüüri pistikprogramm uurib sissetulevat liiklust ja takistab halva liikluse jõudmist teie saidile. Külastajad (sh häkkerid) pääsevad teie saidile juurde sellistest seadmetest nagu nutitelefon või sülearvuti. Iga seade on seotud kordumatu koodiga, mida nimetatakse IP-aadressiks. Tulemüür otsib Internetist halbu IP-aadresse. IP-aadressid, mida on minevikus seostatud pahatahtliku tegevusega, ei pääse teie veebisaidile juurde. Nii blokeeritakse algusest peale häkkerid, kes üritavad teie saidile XSS-i rünnaku rakendamiseks juurde pääseda.

Saidi tugevdamine

Nendel pistikprogrammidel on WordPressi turvalisuse tugevdamiseks palju meetmeid ja üks neist on turvavõtmete muutmine. Teame, et saidiülese skriptimise XSS-i rünnaku korral üritavad häkkerid varastada kasutaja mandaate sisaldavad brauseri küpsised. WordPress salvestab need mandaadid aga krüpteeritud kujul. See lisab teie paroolile turvavõtmed, muutes dekrüpteerimise keeruliseks.

Kasutage selliseid pistikprogramme nagu:

• Kõik ühes WP-turvalisuses.
• Malcare.
• Wordfence'i turvalisus.

Kui häkkerid teavad, mis võtmed on, saavad nad teie sisselogimisparooli hankida. Seetõttu soovitavad veebirakenduste turvateadlased WordPressi võtmeid vahetada iga kahe aasta või kvartali järel.

2. Installige XSS-i haavatavuse ennetamise pistikprogramm

Pärast usaldusväärse turbeplugina installimist soovitan pistikprogrammi installida XSS-i haavatavuse vältimine  XSS-i rünnakute puhul tavaliselt esinevate parameetrite määratlemiseks.

Näiteks võib manustatud pahatahtlik link, mille häkkerid võivad kommentaaride jaotisesse jätta, kasutada selliseid märke nagu hüüumärke, avatud sulgusid jne. Nende valikute blokeerimisel aitab pistikprogramm vältida saidiüleseid skriptirünnakuid teie WordPressi saidil.

See pistikprogramm suudab aga pakkuda vaid piiratud kaitset XSS-i eest. Tulemüür mängib olulist rolli XSS-i rünnakute varajases staadiumis ärahoidmisel ja tuvastamisel. Seetõttu soovitan esmalt lisaks turvapluginale kasutada ka seda pistikprogrammi.

3. Kinnitage kommentaarid käsitsi enne nende postitamist

Saidiüleste skriptirünnakute korral jätavad häkkerid kommentaaride sektsiooni pahatahtlikud lingid lootuses, et keegi lingil klõpsab.

Kommentaarid on kõige parem lugeda enne nende oma veebisaidile postitamist. WordPressi enda kommentaaride süsteem ja ka populaarsed kommentaaripluginad nagu JetPack, Thrive Comments, Disqus jne võimaldavad kommentaare enne vastuvõtmist ja avaldamist käsitsi üle vaadata.

Pahatahtlike linkide tuvastamine pole aga lihtne. Häkkerid jätavad ehtsaid kommentaare koos tõelisteks maskeeritud linkidega. Isegi lingi uurimisel võib see kogemata sellel klõpsates algatada häkkerirünnaku.

Paljud saidiomanikud eelistavad kasutada kommentaaride pistikprogramme, mitte WordPressi enda kommentaaride süsteemi. Seda seetõttu, et kommentaaride pistikprogrammid saavad rämpspostiga paremini hakkama. Kuid nagu mainisin, arendavad pistikprogrammid aja jooksul haavatavusi ja see võib avada teie saidi häkkerite rünnakutele.

Kommentaaride pistikprogrammi säilitamiseks ja sisu turvaaukude parandamiseks soovitan teil oma pistikprogramme värskendada.

4. Värskendage oma pistikprogramme

Kui pistikprogrammide arendajad avastavad oma tarkvaras XSS-i haavatavused, parandavad nad need kiiresti ja vabastavad turvapaiga. See plaaster tuleb värskendusena.

Niipea, kui värskendate oma saidi pistikprogrammi, parandatakse XSS-i haavatavus. Kui aga värskendused viibivad, muutub teie sait saidiülese skriptimise või XSS-i rünnakute suhtes haavatavaks.

Seda seetõttu, et pärast turvapaiga väljaandmist muutub teave haavatavuse kohta avalikuks. See tähendab, et häkkerid teavad, et pistikprogrammi vanas versioonis on haavatavus. Häkkerid roomavad Internetti robotite ja tööriistadega, et leida WordPressi veebisaite, mis kasutavad konkreetset haavatavat pistikprogrammi versiooni.

Kui viivitate värskendamisega, muutub teie sait häkkimise sihtmärgiks. Seejärel saavad nad ära kasutada saidiülese skriptimise haavatavust ja teie saiti häkkida. Seega hoidke oma saiti reeglina alati ajakohasena.

5. Ostke pluginaid usaldusväärsetelt turgudelt

Kui kasutate tasuta pistikprogramme, nagu Jetpack ja Disqus, on parem need alla laadida ametlikust WordPressi hoidlast. Kui kavatsete kasutada esmaklassilisi pistikprogramme, nagu Thrive Comment või WpDevArt, ostke need nende ametlikult veebisaidilt või usaldusväärsetelt turgudelt, nagu Code Canyon, ThemeForest, Evanto jne.

Usaldusväärsed turuplatsid pakuvad kvaliteetseid pistikprogramme, mis vähendavad saitidevahelise skriptimise haavatavuse võimalust.

Tänapäeval on palju veebisaite, mis pakuvad esmaklassiliste pistikprogrammide tasuta piraatversioone. Enamik neist piraatpluginatest on eelinstallitud koos pahavaraga. Nende installimine saidile on nagu häkkeritele uste avamine. Samuti ei saa piraatpluginad värskendusi, mis tähendab, et pistikprogrammides esinevad haavatavused jäävad alles, jättes teie saidi häkkerirünnakute suhtes haavatavaks.

Vältige ebausaldusväärsetest allikatest pärit piraatpluginate kasutamist. Kasutage ainult usaldusväärsete turgude või WordPressi hoidla pistikprogramme.

Sellega olen jõudnud teie WordPressi veebisaidil saidiülese skriptimise takistamise lõpuni. Olen kindel, et kui võtate need meetmed, on teie sait saitideüleste skriptirünnakute eest kaitstud.

Lõpuks

Oma WordPressi saidi kaitsmine saitideüleste skriptirünnakute eest on samm õiges suunas, mis puudutab veebisaidi turvalisust.

Saitidevaheline skriptimine on aga vaid üks levinumaid häkkerirünnakute liike (nt SQL-i süstimisründed) WordPressi saitidel. Häkkeritel on varrukast palju nippe. Parim on rakendada oma veebisaidil kõikehõlmav turbelahendus, et vältida saidiüleseid skriptirünnakuid koos kõigi muude WordPressi rünnakutega.

Seda artiklit lugedes:

• WordPressi kahefaktoriline autentimine: kas teie sait on turvaline?
• Kuidas oma WordPressi saiti WP-Configiga kaitsta?

Täname lugemise eest: SEO HELPER | NICOLA.TOP