Siteler arası komut dosyası çalıştırma nasıl engellenir?

Yazdır · Время на чтение: 8min · tarafından · Yayınlanan · Güncellenmiş

oynamakBu makaleyi dinle

Siteler arası komut dosyası çalıştırma önleme nasıl uygulanır?Web sitenizdeki siteler arası saldırılardan endişe duyuyor musunuz? Gerçek şu ki, siteler arası komut dosyası çalıştırma saldırıları çok yaygındır. Ve sitenizin er ya da geç siteler arası komut dosyası tarafından saldırıya uğraması oldukça olasıdır.

Bu tür saldırılarda, bilgisayar korsanları sitenize saldırmak için ziyaretçinin tarayıcısını kullanır. Web sitenize erişim sağladıktan sonra hassas verileri çalabilir, yasa dışı dosya ve klasörleri depolayabilir, ziyaretçilerinizi diğer kötü amaçlı sitelere yönlendirebilir, spam anahtar kelimelerle arama sonuçlarını değiştirebilir, diğer web sitelerine yönelik saldırılar başlatabilir ve diğer pek çok şey yapabilirler. Bu tür kötü niyetli faaliyetler web sitenizi yok edebilir.

Saldırı sitenizi yavaşlatacak ve sitenizin arama motorlarındaki sıralamasını etkileyecektir. Trafikte bir düşüş yaşayacaksınız ve sonunda geliriniz düşecek.

Etkinlikler çığ gibi büyüyebilir ve kullanıcılar ileride aldatıcı bir site gibi uyarılar görebilir, bu site arama sonuçlarında web sitenize girebilir, Google sitenizi kara listeye alabilir ve barındırma sağlayıcınız sitenizi askıya alabilir.

Ancak endişelenmeyin, siteler arası komut dizisini önlemek için birkaç basit adım atarak web sitenizde tüm bunları önleyebilirsiniz. Bu makalede, web sitenizi siteler arası komut dosyası çalıştırma saldırılarından korumak için doğru adımları atmanıza yardımcı olacağım.

Makalenin içeriği:

Siteler arası betik çalıştırma (XSS) saldırısı nedir?

Siteler arası komut dosyası çalıştırma saldırısında, bilgisayar korsanı bir ziyaretçinin kimliğine bürünerek bir web sitesine girer. Bu tür bir saldırıyı anlamanın en iyi yolu, bir bilgisayar korsanının saldırı gerçekleştirmek için attığı adımları izlemektir.

  • Çoğu web sitesinde, ziyaretçilerin web sitesine veri girmesine izin veren giriş alanları (iletişim formu, kayıt formu veya yorumlar bölümü gibi) bulunur.
  • Bu alanlar eklenti tarafından etkinleştirilir. Kural olarak eklentiler, alanlara eklenen verilerin kod parçacığı gibi kötü amaçlı olmadığından emin olur. Ancak eklentiler bir XSS güvenlik açığı geliştirirse, ziyaretçinin kötü amaçlı veya güvenilmeyen veriler girmesine izin verebilir.

Örneğin, savunmasız bir yorum eklentisi, ziyaretçilerin kötü amaçlı bağlantılar eklemesine olanak tanır.

  • Bir bağlantıya tıkladığınızda kötü amaçlı kod veya kötü amaçlı javascript etkinleştirilir ve tarayıcınızın çerezlerine erişmek için sizden izin istenir.
  • Görünüşe göre web siteniz sizden belirli bir işlevi gerçekleştirmenizi istiyor. Bu numaraya kanmanız ve tarayıcınızın çerezlerine erişime izin vermeniz çok muhtemeldir.

Tarayıcınızın tanımlama bilgilerine erişime izin vererek, hassas bilgileri bilgisayar korsanına ifşa ediyorsunuz.

  • Tarayıcı tanımlama bilgileri, oturum açma kimlik bilgileriniz de dahil olmak üzere her türlü bilgiyi saklar. Oturum açma kimlik bilgilerinize erişim sağlayarak, bir bilgisayar korsanı sizi taklit edebilir ve web sitenize girebilir.

chrome-tarayıcı-çerezleri

XSS veya siteler arası betik çalıştırma saldırılarının türleri nelerdir?

Siteler arası betik çalıştırma saldırılarının iki türü vardır. Bu:

  • Depolanmış (veya kalıcı) XSS saldırısı. Bu saldırının hedefi bir web sitesi ziyaretçisidir.
  • Yansıyan (veya kalıcı olmayan) XSS saldırısı. Bu tür saldırıların hedefi bir web sitesidir.

Siteler arası betik çalıştırma saldırıları, güvenlik açığı bulunan eklentiler nedeniyle gerçekleşir. Bilgisayar korsanları, form veya yorum eklentileri gibi savunmasız eklentiler kullanarak bir web sitesi arayarak İnternet'i tarar. Bu eklentiler genellikle kullanıcı girişi doğrulama sorunlarına neden olur. Güvenlik açığı bulunan bir eklenti kullanan bir web sitesi keşfettikleri anda saldırmaya başlarlar.

Sonunda bilgisayar korsanları, diğerlerinin yanı sıra web sitesi oturum açma kimlik bilgileri, e-bankacılık kimlik bilgileri, Facebook ve e-posta kimlik bilgileri gibi önemli bilgileri saklayan kurbanın tarayıcı çerezlerine erişim elde eder.

Bilgisayar korsanının asıl amacı sitenize girmekse, sitenin oturum açma kimlik bilgilerini alacaktır. Buna yansıyan XSS saldırısı denir. Ancak bir bilgisayar korsanı, kullanıcıları veya site ziyaretçilerini hedeflerse e-bankacılık, Facebook ve Gmail kimlik bilgilerini ele geçirecektir. Buna saklı XSS saldırısı veya kalıcı XSS saldırısı denir.

Artık siteler arası komut dizisini ve çeşitli biçimlerini anladığınıza göre, web sitenizi bu tür saldırılardan nasıl koruyacağınıza bir göz atalım.

Siteler arası komut dizisini önlemeye yönelik önlemler

WordPress siteleri, eklentiler ve temalar kullanılarak oluşturulur. Çoğu site, ziyaretçilerin veri girmesine izin veren bir iletişim formu veya yorum bölümü içeren bir giriş eklentisine sahiptir.

Birçok giriş eklentisi, zaman içinde XSS güvenlik açıkları geliştirir. Daha önce tartıştığımız gibi, bilgisayar korsanları sitenizde siteler arası saldırılar başlatmak için güvenlik açıklarını kullanabilir. Eklenti, web sitesinin önemli bir parçası olduğu için onu öylece kaldıramazsınız. Yapabileceğiniz şey, sitenize XSS saldırılarını önlemek için adımlar atmak.

xss açıklarını önlemek ve XSS saldırılarına karşı korunmak için sitenizde uygulamanız gereken 5 önlemi size göstereceğim.

  1. Güvenlik eklentisini kurun
  2. Önleme XSS Güvenlik Açığı Eklentisini Kurun
  3. Yorumları yayınlamadan önce gözden geçirin
  4. Eklentilerinizi güncelleyin
  5. Tanınmış pazarlardan eklentiler kullanın

1. Güvenlik eklentisini yükleyin

İyi bir güvenlik eklentisi, sitenizi bir WordPress güvenlik duvarı ile koruyacak ve site güvenlik önlemlerini uygulamanıza izin verecektir.

WordPress güvenlik duvarı eklentisi, gelen trafiği inceler ve kötü trafiğin sitenize ulaşmasını engeller. Ziyaretçiler (bilgisayar korsanları dahil) sitenize akıllı telefon veya dizüstü bilgisayar gibi cihazlardan erişir. Her cihaz, IP adresi adı verilen benzersiz bir kodla ilişkilendirilir. Güvenlik duvarı, kötü IP adresleri için İnternet'i tarar. Geçmişte kötü amaçlı etkinlikle ilişkilendirilen IP adresleri web sitenize erişemez. Bu şekilde, bir XSS saldırısı uygulamak için sitenize erişmeye çalışan bilgisayar korsanları baştan engellenir.

Site güçlendirme

Bu eklentilerin, WordPress güvenliğini sağlamlaştırmak için birçok önlemi vardır ve bunlardan biri de güvenlik anahtarlarını değiştirmektir. Siteler arası komut dosyası çalıştırma XSS saldırısında bilgisayar korsanlarının, kullanıcının kimlik bilgilerini içeren tarayıcı çerezlerini çalmaya çalıştıklarını biliyoruz. Ancak, WordPress bu kimlik bilgilerini şifrelenmiş biçimde saklar. Parolanıza güvenlik anahtarları ekleyerek şifrenin çözülmesini zorlaştırır.

Şunlar gibi eklentiler kullanın:

  • Hepsi bir arada WP Güvenliği.
  • Malcare.
  • Wordfence güvenliği.

kötü niyetli değişiklikler güvenlik anahtarları

Bilgisayar korsanları anahtarların ne olduğunu bilirlerse oturum açma parolanızı alabilirler. Bu nedenle web uygulaması güvenlik araştırmacıları, WordPress anahtarlarını iki yılda bir veya üç ayda bir değiştirmenizi önerir.

2. XSS Güvenlik Açığı Önleme Eklentisini Kurun

Güvenilir bir güvenlik eklentisi kurduktan sonra eklentiyi kurmanızı tavsiye ederim. XSS Güvenlik Açığı Önleme  XSS saldırılarında yaygın olarak karşılaşılan parametreleri tanımlamak için.

xss-güvenlik açığı-önleme-eklentisi

Örneğin, bilgisayar korsanlarının yorumlar bölümüne bırakabilecekleri yerleşik bir kötü amaçlı bağlantı, ünlem işareti, açık parantez vb. karakterleri kullanabilir. Eklenti, bu seçenekleri engelleyerek WordPress sitenize siteler arası komut dosyası çalıştırma saldırılarını önlemeye yardımcı olur.

Ancak, bu eklenti XSS'ye karşı yalnızca sınırlı koruma sağlayabilir. Güvenlik duvarı, XSS saldırılarını erken bir aşamada önlemede ve tespit etmede kritik bir rol oynar. Bu yüzden güvenlik eklentisine ek olarak öncelikle bu eklentiyi kullanmanızı tavsiye ederim.

3. Yorumları Göndermeden Önce Manuel Olarak Onaylayın

Siteler arası komut dosyası saldırılarında, bilgisayar korsanları, birinin bağlantıya tıklayacağını umarak yorum bölümüne kötü amaçlı bağlantılar bırakır.

Yorumları web sitenize göndermeden önce okumak en iyisidir. WordPress'in kendi yorum sistemi ve JetPack, Thrive Comments, Disqus gibi popüler yorum eklentileri, yorumları kabul etmeden ve yayınlamadan önce manuel olarak incelemenize olanak tanır.

istenmeyen yorum - manuel onay

Ancak, kötü amaçlı bağlantıları belirlemek kolay değildir. Bilgisayar korsanları, gerçek gibi görünen bağlantılarla gerçek yorumlar bırakır. Bir bağlantıyı incelerken bile, yanlışlıkla üzerine tıklarsanız, bir bilgisayar korsanı saldırısı başlatabilir.

Birçok site sahibi, WordPress'in kendi yorum sistemi yerine yorum eklentilerini kullanmayı tercih ediyor. Bunun nedeni, yorum eklentilerinin spam ile mücadelede daha iyi olmasıdır. Ancak bahsettiğim gibi eklentiler zamanla güvenlik açıkları geliştiriyor ve bu da sitenizi hacker saldırılarına açabiliyor.

Yorum eklentinizi korumak ve içerik güvenlik açıklarını düzeltmek için eklentilerinizi güncellemenizi tavsiye ederim.

4. Eklentilerinizi güncelleyin

Eklenti geliştiricileri, yazılımlarında XSS güvenlik açıklarını keşfettiklerinde, bunları hızla düzeltir ve bir güvenlik yaması yayınlar. Bu yama bir güncelleme olarak geliyor.

Sitenizdeki eklentiyi güncellediğiniz anda XSS güvenlik açığı giderilecektir. Ancak güncellemeler ertelenirse, siteniz siteler arası komut dosyası çalıştırma veya XSS saldırılarına karşı savunmasız hale gelir.

Bunun nedeni, bir güvenlik düzeltme eki yayınlandıktan sonra güvenlik açığıyla ilgili bilgilerin herkese açık hale gelmesidir. Bu, bilgisayar korsanlarının eklentinin eski sürümünde bir güvenlik açığı olduğunu bildiği anlamına gelir. Bilgisayar korsanları, güvenlik açığı bulunan belirli bir eklenti sürümünü kullanan WordPress web sitelerini bulmak için botlar ve araçlarla internette gezinir.

Güncellemeyi geciktirirseniz, siteniz bilgisayar korsanlarının hedefi haline gelecektir. Daha sonra siteler arası komut dosyası çalıştırma güvenlik açığından yararlanabilir ve sitenizi hackleyebilirler. Genel bir kural olarak, sitenizi her zaman güncel tutun.

5. Güvenilir pazar yerlerinden eklentiler satın alın

Jetpack ve Disqus gibi ücretsiz eklentiler kullanıyorsanız, bunları resmi WordPress deposundan indirmek en iyisidir. Thrive Comment veya WpDevArt gibi premium eklentileri kullanacaksanız, bunları resmi web sitelerinden veya Code Canyon, ThemeForest, Evanto vb. güvenilir pazar yerlerinden satın alın.

Güvenilir pazar yerleri, siteler arası komut dosyası çalıştırma güvenlik açıkları olasılığını azaltan yüksek kaliteli eklentiler sunar.

Bu günlerde, premium eklentilerin ücretsiz korsan sürümlerini sunan birçok web sitesi var. Bu korsan eklentilerin çoğu, kötü amaçlı yazılımlarla önceden yüklenmiş olarak gelir. Bunları sitenize yüklemek, bilgisayar korsanları için kapıları açmak gibidir. Ayrıca korsan eklentiler güncelleme almaz, bu da eklentilerde meydana gelen güvenlik açıklarının devam etmesi ve sitenizi bir bilgisayar korsanı saldırısına karşı savunmasız bırakması anlamına gelir.

Güvenilmeyen kaynaklardan korsan eklentiler kullanmaktan kaçının. Yalnızca güvenilir pazar yerlerinden veya WordPress deposundan eklentileri kullanın.

Bununla, WordPress web sitenizde siteler arası komut dizisini önlemenin sonuna geldim. Bu önlemleri alırsanız sitenizin siteler arası betik saldırılarına karşı korunacağından eminim.

Nihayet

WordPress sitenizi siteler arası komut dosyası çalıştırma saldırılarından korumak, web sitesi güvenliği söz konusu olduğunda doğru yönde atılmış bir adımdır.

Bununla birlikte, siteler arası komut dosyası oluşturma, WordPress sitelerinde yaygın olarak kullanılan bilgisayar korsanı saldırılarından (SQL enjeksiyon saldırıları gibi) yalnızca biridir. Bilgisayar korsanlarının pek çok numarası vardır. Diğer tüm WordPress saldırı türleriyle birlikte siteler arası komut dosyası çalıştırma saldırılarını önlemek için web sitenize kapsamlı bir güvenlik çözümü uygulamak en iyisidir.

Bu makaleyi okumak:

Okuduğunuz için teşekkürler: SEO YARDIMI | NICOLA.ÜST

Bu gönderi ne kadar yararlı oldu?

Derecelendirmek için bir yıldıza tıklayın!

Ortalama puanı 5 / 5. Oy sayısı: 419

Şimdiye kadar oy yok! Bu gönderiyi ilk değerlendiren siz olun.

Şunlar da hoşunuza gidebilir...

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

dört × beş =