{"id":3810,"date":"2020-10-14T11:25:00","date_gmt":"2020-10-14T11:25:00","guid":{"rendered":"http:\/\/the-codest.localhost\/blog\/web-app-security-xss-vulnerability\/"},"modified":"2026-04-27T10:24:05","modified_gmt":"2026-04-27T10:24:05","slug":"veebirakenduse-turvalisus-xss-haavatavus","status":"publish","type":"post","link":"https:\/\/thecodest.co\/et\/blog\/web-app-security-xss-vulnerability\/","title":{"rendered":"Veebirakenduse turvalisus - XSS haavatavus"},"content":{"rendered":"

R\u00fcnnaku stsenaarium<\/h2>\n\n\n\n
    \n
  1. R\u00fcndaja leiab XSS-haavatavuse ohvri kasutataval veebisaidil, nt panga veebisaidil.<\/li>\n\n\n\n
  2. Ohver on praegu sellele lehek\u00fcljele sisse logitud<\/li>\n\n\n\n
  3. R\u00fcndaja saadab ohvrile v\u00f5ltsitud URL-i.<\/li>\n\n\n\n
  4. Ohver kl\u00f5psab URL-i<\/li>\n\n\n\n
  5. Ohvri kohta pank<\/a> veebisait, JavaScript<\/a> kood<\/a> alustab t\u00e4itmist, et peatada kasutaja andmed<\/a> v\u00f5i teha tema nimel \u00fclekanne r\u00fcndaja kontole<\/li>\n<\/ol>\n\n\n\n

    Tuleb m\u00e4rkida, et ohvri nimel tehtavad toimingud v\u00f5ivad olla ohvrile n\u00e4htamatud, kuna need v\u00f5ivad toimuda taustal, kasutades panga API<\/a>, v\u00f5i r\u00fcndaja v\u00f5ib neid hiljem teostada autentimiseks vajalike andmete, m\u00e4rkide, k\u00fcpsiste jne abil.<\/p>\n\n\n\n

    XSS t\u00fc\u00fcbid<\/h2>\n\n\n\n

    1. Peegeldatud XSS <\/h3>\n\n\n\n

    See on selline, kus vastuseks kuvatakse mis tahes parameetris (nt GET, POST v\u00f5i k\u00fcpsis) sisalduv HTML\/JavaScript-kood.<\/p>\n\n\n\n

    Lehek\u00fclg tekstisisendiga, et otsida midagi, mis paneb parameetriks ?search=foo<\/code> URL-i l\u00f5pus API p\u00e4ringu tegemisel. P\u00e4rast mis tahes fraasi sisestamist, kui seda ei leita, pannakse tagastuss\u00f5num HTML ex.<\/p>\n\n\n\n

    <div>Ei leitud tulemusi seoses <b>foo<\/b><\/div><\/code><\/pre>\n\n\n\n
    Me v\u00f5ime proovida panna URL-i ?search=<\/code>..<\/p>\n\n\n\n
    2.DOM XSS <\/h3>\n\n\n\n
    See on siis, kui selle t\u00e4itmine on lubatud JavaScript ohtlike funktsioonide kasutamisega, n\u00e4iteks `eval`<\/code> v\u00f5i `innerHtml`<\/code>. Allpool olev \"Live n\u00e4ide\" n\u00e4itab DOM XSS r\u00fcnnakut, mis p\u00f5hineb `innerHtml`<\/code> funktsioon.<\/p>\n\n\n\n
    3. Salvestatud XSS <\/h3>\n\n\n\n
    See on \u00fcks neist, kus pahatahtlik kood kirjutatakse serveri poolele. N\u00e4iteks v\u00f5ime saata pahatahtliku koodiga kommentaari blogipostitusele, mis laaditakse serverisse. Selle \u00fclesanne on n\u00e4iteks oodata administraatori modereerimist ja seej\u00e4rel varastada tema seansiandmed jne.<\/p>\n\n\n\n
    S\u00fcstimismeetodid<\/h2>\n\n\n\n
    1. Sildi sisu<\/p>\n\n\n\n
    `onerror=alert('XSS')`<\/code>aadressile<\/p>\n\n\n\n
    <img src onerror="alert('XSS')" \/><\/code><\/pre>\n\n\n\n
    2. Atribuudi sisu<\/p>\n\n\n\n
    `\" onmouseover=alert('XSS')`\" onmouseover=alert('XSS')`<\/code> aadressile<\/p>\n\n\n\n
    <div class="" onmouseover="alert('XSS')""><\/div><\/code><\/pre>\n\n\n\n
    <\/p>\n\n\n\n
      \n
    1. Atribuudi sisu ilma jutum\u00e4rkideta<\/li>\n<\/ol>\n\n\n\n
      x onclick=alert('XSS')<\/code>aadressile<\/p>\n\n\n\n
      <div class="x" onclick="alert('XSS')"><\/div><\/code><\/pre>\n\n\n\n
      <\/p>\n\n\n\n
        \n
      1. In the href<\/code>ef atribuut<\/li>\n<\/ol>\n\n\n\n
        javascript:alert('XSS')<\/code> aadressile<\/p>\n\n\n\n
        <a href="javascript:alert('XSS')"><\/a><\/code><\/pre>\n\n\n\n
        <\/p>\n\n\n\n
          \n
        1. JavaScript koodis sisalduvas stringis<\/li>\n<\/ol>\n\n\n\n
          \";alert('XSS')\/\/<\/code> aadressile<\/p>\n\n\n\n
          <script>let username=\"\";alert('XSS')\/\/\";<\/script><\/code><\/pre>\n\n\n\n
            \n
          1. Atribuudis koos s\u00fcndmusega JavaScript<\/li>\n<\/ol>\n\n\n\n
            ');alert('XSS')\/\/<\/code> kus '<\/code> on \u00fchekordne jutum\u00e4rk, arvesse<\/p>\n\n\n\n
            <div onclick="change('&#39;);alert('XSS')\/\/')">John<\/div><\/code><\/pre>\n\n\n\n
            <\/p>\n\n\n\n
              \n
            1. In the href<\/code> atribuut JavaScript protokolli sees<\/li>\n<\/ol>\n\n\n\n
              );alert(1)\/\/<\/code> kus %27<\/code> on \u00fchekordne jutum\u00e4rk, arvesse<\/p>\n\n\n\n
              <a href="javascript:change('%27);alert(1)\/\/')">kliki<\/a><\/code><\/pre>\n\n\n\n

               <\/code><\/p>\n\n\n\n
              Elus n\u00e4ide<\/h3>\n\n\n\n
              \n