रिफ्लेक्टेड XSS हमले
Reflected XSS हमले एक प्रकार के क्रॉस-साइट स्क्रिप्टिंग हमले होते हैं जहां एक अवांछित कोड तुरंत उपयोगकर्ता के ब्राउज़र में सर्वर के उत्तर में भेजा जाता है।
परिभाषा
Reflected Cross-Site Scripting (XSS) तब होता है जब एक हमलावर एक वेब अनुरोध में हानिकारक स्क्रिप्ट डालता है जिसे एक असुरक्षित एप्लिकेशन बिना उचित साफ करने के अपने उत्तर में शामिल करता है। इस प्रतिबिंबित पेलोड को शिकार के ब्राउज़र में चलाया जाता है जब वे एक बनाया गया लिंक पर क्लिक करते हैं या बदला गया इनपुट भेजते हैं, क्योंकि ब्राउज़र उत्तर को एक विश्वसनीय साइट से आने वाला मानता है। स्टोर्ड XSS के विपरीत, प्रतिबिंबित हमले सर्वर पर टिके नहीं रहते और व्यक्तिगत उपयोगकर्ताओं को एक हानिकारक अनुरोध शुरू करने के लिए धोखा देने पर निर्भर करते हैं। इन हमलों को लिंक, फॉर्म फील्ड या HTTP हेडर्स के माध्यम से प्रसारित किया जा सकता है और इनका उपयोग उपयोगकर्ता सत्रों के अपमान करने या संवेदनशील डेटा चुराने के लिए फिशिंग और सामाजिक इंजीनियरिंग अभियानों में किया जाता है। Reflected XSS को कभी-कभी अस्थायी या टाइप-I XSS के रूप में जाना जाता है क्योंकि इसकी एक बार के अनुरोध/उत्तर प्रकृति होती है।
लाभ
- वेब एप्लिकेशन में विशिष्ट इनपुट प्रबंधन कमजोरियों को उजागर करता है।
- इसकी तत्काल प्रकृति के कारण स्वचालित स्कैनिंग उपकरणों द्वारा आसानी से पहचाना जा सकता है।
- विस्तारित सर्वर-साइड संग्रहण की आवश्यकता नहीं होती है।
- सुरक्षा परीक्षण और ग्राहक-साइड जोखिम प्रकट करने में उपयोगी है।
- आउटपुट कोडिंग और इनपुट सत्यापन तर्क में अंतर को उजागर कर सकता है।
नुकसान
- सत्र कुकीज़ चुरा सकता है और उपयोगकर्ताओं का अपमान कर सकता है।
- शिकार के ब्राउज़र में असीमित स्क्रिप्ट चलाने की अनुमति देता है।
- फिशिंग अभियानों में आमतौर पर उपयोग किया जाता है जहां उपयोगकर्ताओं को लिंक पर क्लिक करने के लिए धोखा दिया जाता है।
- अकाउंट चुराव, खतरनाक साइट पर रीडायरेक्शन या डेटा बाहर निकालने के कारण हो सकता है।
- इसके सफल होने के लिए उपयोगकर्ता के अंतर्क्रिया की आवश्यकता होती है, जो इसके पैमाने को सीमित करता है लेकिन अभी भी गंभीर जोखिम पैदा करता है।
उपयोग के मामले
- वेब एप्लिकेशन में XSS विशेषताओं की पहचान करने के लिए सुरक्षा मूल्यांकन।
- विकासकर्ताओं को खराब इनपुट साफ करने के प्रभाव को दिखाना।
- सामाजिक इंजीनियरिंग के साथ तकनीकी हमलों पर प्रशिक्षण।
- आउटपुट कोडिंग और सामग्री सुरक्षा नीतियों की प्रभावशीलता की जांच करना।
- क्रॉस-साइट स्क्रिप्टिंग दोषों के ठीक करने की पुष्टि करने के लिए पेनेट्रेशन परीक्षण।