Lassen Sie uns nun darüber sprechen, wie wir Schwachstellen verhindern können, wenn diese Schwachstellen auftreten. Wenn ein
Benutzer etwas in ein Textfeld oder einen Parameter eingibt, wird die Eingabe im Hasyim angezeigt. Andernfalls wird er so behandelt,
als wäre er Teil der Seite und daher auch ein Teil davon Wenn es Javascript
enthält, wird der Code ausgeführt.
Um dies zu verhindern, versuchen Sie, die Verwendung nicht vertrauenswürdiger Eingaben zu minimieren.
Jedes Mal, wenn ein Benutzer etwas eingibt oder wenn etwas von Parametern eingegeben wird, versuchen Sie, dies zu minimieren.
Stellen Sie außerdem sicher, dass Sie immer dorthin flüchten, wo dies auf der eiligen E-Mail-Seite angezeigt oder verwendet werden soll,
da Access nur in Bereiche eingefügt werden kann, an denen Elemente auf der Seite angezeigt werden.
Es kann aber auch in Parameter bestimmter Elemente der Hasyim-Seite eingefügt werden.
Was ich mit Scaping verstehe, ist die Umwandlung jeder dieser Figuren in das, was sie in Eile
darstellen würden.
Sie können dies mit Skripten tun, und Sie können dies mit Ihrem eigenen Skript tun.
Lassen Sie mich Ihnen nun zeigen, wie das passiert, jetzt bin ich hier als meine verwundbare Webseite, die wir verwendet
haben, und ich werde zu dieser dritten gehen.
Und natürlich können Sie sehen, dass die Übung jedes Mal ausgeführt wird, wenn Sie darauf klicken.
Lassen Sie uns dieses Element untersuchen.
Nun ist dieses Element der Ort, an dem wir unseren Alarm ausgelöst haben.
Wenn Sie mit der rechten Maustaste klicken und das Element inspizieren fortsetzen, zeigt es uns den Hastey-Betrag
dieser Seite oder das aus diesem Element hervorgehobene Element.
Ich werde das also größer machen und wenn wir es uns hier genau ansehen, werden wir sehen, dass wir den Namen und
das Zayde haben und dann den anderen Eingang, der die Nachricht ist.
Es ist ein Skript und das Skript, bei dem das Skript Alarm auslöst, also ist es genau
das, was wir in diesen Kommentar eingefügt haben.
Jedes Mal, wenn wir auf dieser Seite waren, wird dieser Code ausgeführt.
Wir müssen also sicherstellen, dass jedes Mal, wenn ein Benutzer etwas eingibt, sichergestellt wird, dass
etwas auf einer Seite angezeigt wird oder dass irgendwo im Argument etwas verwendet wird.
Also selbst die Idee hier oder auch die Atri der Idee ist nur ein Parameter des Tages.
Es ist nicht die Stufe, in der Sie diese ID nie sehen, aber dies ist die Injektion kann auch injiziert werden.
So können Hacker tatsächlich versuchen, Sachen in die Parameter zu injizieren.
Sie können versuchen, Sachen in die Bildattribute einzufügen, z. B. können sie ein Bild erstellen und Sachen in die
Quelle oder in Sie oder sonst.
Dies ist also nur ein Beispiel.
Jedes Mal, wenn Benutzereingaben an einer beliebigen Stelle auf der Seite verwendet werden, müssen Sie sicherstellen, dass
Sie diese Eingabe entziehen und sicherstellen, dass sie keinen Code enthält, selbst wenn Sie sie nicht sehen Wenn er
Code enthält, der in seinen Verlauf konvertiert wurde, um gleichwertig zu sein, sobald Sie diesen Code
verlassen haben, wird dies in der Nachricht angezeigt.
Sie sehen die Nachricht also als Skriptalarmübung, die jedoch niemals ausgeführt wird.
Das Skript wird auf der Zielperson niemals ausgeführt, wenn sie ausgeführt wird.
Und genau das ist die hohe Sicherheitsstufe.
Lassen Sie mich die Sicherheitseinstellungen durchgehen.
Und lass mich das schließen und ich werde es an einen hochgesandten senden
und wir werden zu unserem reflektierten Punkt zurückkehren, da dieselben Messungen in der reflektierten und in der Geschichte
vorgenommen werden.
Und jetzt, wenn wir versuchen, einen unserer Codes einzufügen, die wir zuvor gemacht haben, zum Beispiel, wenn wir versuchen, dieses Skript
mit Übung zu injizieren, und dann das Skript schließen, sehen Sie das Skript genau so, wie Sie es gesehen
hätten ein normaler Name
Wenn wir also Zayde hier sagen, sehen Sie nur meinen Namen und wenn wir unser Skript einschleusen, wird es so aussehen, als
wäre es ein normaler Name, der nicht erscheint.
Sie sehen nicht nur, was sich zwischen den Tags befindet, und der Code wird auch nicht ausgeführt.
Wenn wir uns die Quelle ansehen, sehen Sie, dass Sie alle Tags sehen, damit Sie das Skript sehen können.
Sie können das Schließen des Skript-Tags sehen und alles wird ordnungsgemäß injiziert.
Sie denken also, dass dies funktionieren sollte, aber es funktioniert nicht, da die Website oder die Webseite
oder der Browser weiß, dass diese Tags als leichte Zeichen von Hastey und nicht als Teil des Codes behandelt
werden sollten.
Und das alles dank einer Funktion, die hier verwendet wird, die als Hasyim von Sonderzeichen bezeichnet wird.
Es ist also alles dank dieser Funktion.
Was immer Sie dem Namen hinzufügen, wurde durch diese Funktion gefiltert.
Diese Funktion wird nun jedes eingegebene Zeichen durchlaufen und Hastey-E-Mail oder dem Browser mitteilen,
dass es in EML-DML-Code in sein Äquivalent geändert wird.
Daher weiß der Browser, dass dies nicht Teil des Codes ist.
Und dies ist Teil dessen, was auf dem Bildschirm als Text angezeigt werden soll.
Unabhängig davon, was Sie zu injizieren versuchen, wird der Code in einen
Codestrom konvertiert, der auf dem Bildschirm wie normaler Text oder normale Zeichen angezeigt wird.
Jetzt als Benutzer, um zu verhindern, dass Sie bei einem Übungsangriff verwendet werden.
Jetzt, wo Sie zu Ihnen kommen, werden Sie wahrscheinlich so aussehen, als hätten Sie keine vertrauenswürdige Website.
Nehmen wir beispielsweise an, Sie arbeiten in einem Unternehmen und es gab eine Übung in Ihrem Unternehmen, und Sie loggen
sich in Ihr Unternehmen ein und der Code wird für Sie ausgeführt.
Dann können Sie nicht viel selbst tun, aber Sie müssen mit Rindfleisch vorsichtig sein, um die Schwachstellen
auszunutzen, die uns beispielsweise ein gefälschtes Update gezeigt haben.
Stellen Sie also sicher, dass Sie, wenn Sie eine Nachricht erhalten, immer ein Update erhalten.
Vergewissern Sie sich, dass Sie tatsächlich die Website aufrufen, auf der diese Anwendung bereitgestellt wird.
Wenn also Firefox gesagt hat, dass dort ein Update ansteht, gehen Sie auf die Gesichtsseite von Firefox und sehen Sie,
ob tatsächlich ein Update vorhanden ist. Wenn es von dieser Website heruntergeladen wird, laden Sie es nicht aus der
Benachrichtigung herunter, die Sie erhalten haben.
Stellen Sie außerdem sicher, dass Sie es von einer voreiligen CPS-Website herunterladen. Sobald Sie es heruntergeladen haben, können Sie es überprüfen und auf
die gleiche Weise überprüfen, wie wir es zuvor gesehen haben.
Um sicherzustellen, dass sich keine Hintertüren oder irgendetwas darin befinden.
Sie können auch die fünf Optionen überprüfen, um sicherzustellen, dass die Datei während des Herunterladens nicht auf dieselbe Weise
manipuliert wurde, als wir uns bei Facebook mit dem gefälschten Facebook-Login angemeldet haben, als Sie mit Rindfleisch waren.
Sie können also immer dann, wenn Ihnen mitgeteilt wird, dass Sie abgemeldet wurden, und sich erneut anmelden.
Ignoriere das.
Gehen Sie zu Facebook dot com.
Stellen Sie sicher, dass die CPS durchlaufen wird, und melden Sie sich dann bei Facebook an. Versuchen Sie daher immer vorsichtig zu sein, wenn Benachrichtigungen angezeigt werden, die
Sie dazu auffordern, etwas zu tun.
Seien Sie immer vorsichtig und vertrauen Sie ihnen niemals.