Parlons maintenant de la manière dont nous pouvons éviter les excès de vulnérabilité, car chaque fois qu’un utilisateur
entre quelque chose dans une zone de texte ou dans un paramètre, cette entrée est affichée dans Hasyim. Elle est traitée comme
si elle faisait partie de la page et par conséquent s'il y a du javascript,
le code est en cours d'exécution.
Donc, pour éviter cela, la meilleure chose à faire est d'essayer de minimiser l'utilisation d'entrées non fiables.
Donc, chaque fois qu'un utilisateur entre quelque chose ou chaque fois que quelque chose est entré à partir de paramètres, essayez de le minimiser.
Assurez-vous également que vous échappez toujours où que ce soit qui soit affiché ou utilisé dans la page de courrier électronique à
la hâte, car Access ne peut être injecté qu'aux endroits où des éléments sont affichés sur la page.
Mais il peut également être injecté dans les paramètres de certains éléments de la page Hasyim.
Donc, ce que je veux dire par «scaping», c'est convertir chacun de ces personnages en ce qu'ils seraient
représentés en hâte.
Vous pouvez le faire en utilisant des scripts et vous pouvez le faire en utilisant votre propre script.
Permettez-moi maintenant de vous montrer comment cela se produit. Je suis ici en tant que page Web vulnérable que nous
utilisions et je vais passer à la troisième.
Et bien sûr, vous pouvez voir que chaque fois que vous cliquez dessus, l'exercice est exécuté.
Alors, inspectons cet élément.
Maintenant, cet élément est l'endroit où nous avons injecté notre alerte.
Et si vous faites un clic droit et allez sur élément à inspecter, il nous montrera le montant de Hastey de
cette page ou le sortir de cet élément en particulier ici même.
Donc, je vais faire cela plus grand et si nous regardons cela ici, vous verrez que nous avons le
nom et que Zayde, puis l’autre entrée qui est le message.
Il s’agit d’un script et le script dans lequel le script est un exercice d’alerte, c’est donc exactement ce que
nous lui avons injecté lorsque nous avons fait ce commentaire.
Donc, chaque fois que nous sommes sur cette page, ce morceau de code est exécuté.
Nous devons donc nous assurer que chaque fois qu'un utilisateur entre quelque chose et que quelque chose
sera affiché sur une page ou que quelque chose sera utilisé quelque part dans l'argument.
Donc, même l'idée ici ou même l'Atri, l'idée est juste, par exemple, est un paramètre de la journée.
Ce n’est pas le stade où vous ne voyez jamais cet ID, mais c’est possible que ce soit injectable ou injecté.
Les pirates peuvent donc réellement essayer d’injecter des éléments dans les paramètres.
Ils peuvent essayer d’injecter des éléments dans les attributs d’image, par exemple, ils peuvent créer une image et d’injecter des éléments
dans la source ou dans un autre fichier.
Donc, ceci est juste un exemple ici.
Et chaque fois que la saisie de l'utilisateur sera utilisée n'importe où sur la page, donc même si vous ne la
voyez pas si vous ne la voyez généralement pas, vous devez vous assurer que vous échappez cette entrée et que celle-ci ne contient
aucun code. et s'il contient du code converti dans son historique pour qu'il soit équivalent une fois que vous avez
échappé à cela, vous verrez réellement cela dans le message.
Vous voyez donc le message comme un exercice d’alerte de script, mais il ne sera jamais exécuté.
Le script ne sera jamais réellement exécuté sur la personne cible quand il l'exécutera.
Et c'est exactement ce que les expiations de haut niveau de sécurité.
Alors laissez-moi passer par les paramètres de sécurité.
Et laissez-moi fermer ceci et je vais envoyer cela à un haut
soumis et nous reviendrons à notre reflété ceci les mêmes mesures sont prises dans le reflété et
dans l'histoire
Et maintenant, si nous essayons d’injecter l’un de nos codes que nous faisions auparavant, par exemple, si nous essayons d’injecter ce
script afin que script et exercice soient fermés, vous verrez le script exactement de la même manière que vous
l’auriez vu un nom normal.
Donc, si nous disons Zayde ici, vous verrez juste mon nom et si nous injectons notre script, vous verrez qu'il apparaît comme
s'il s'agissait d'un nom normal, il n'apparaît pas.
Vous ne voyez pas seulement ce qu'il y a entre les balises et ensuite, le code n'est même pas exécuté.
Si nous regardons la source, vous verrez que vous voyez toute la balise pour que vous puissiez voir le script.
Vous pouvez voir la fermeture de la balise de script et tout est correctement injecté.
Vous pensez donc que cela devrait fonctionner, mais pas parce que le site Web, la page Web ou le
navigateur savent que ces balises doivent être traitées comme des caractères légers Hastey et ne doivent pas être traitées comme faisant partie
du code.
Et tout cela grâce à une fonction utilisée ici, appelée Hasyim des caractères spéciaux.
Tout est donc grâce à cette fonction.
Ainsi, tout ce que vous mettez dans le nom est filtré à travers cette fonction.
Maintenant, cette fonction va parcourir chaque caractère que vous avez entré et dire à l'email de Hastey ou
au navigateur qu'il le changera en son équivalent en code DML précipité.
Par conséquent, le navigateur saura que cela ne fait pas partie du code.
Et cela fait partie de ce qui devrait être affiché à l'écran sous forme de texte.
Et de cette façon, quoi que vous essayiez d’injecter, il sera converti en un
flux de code qui sera simplement affiché à l’écran comme du texte normal ou des caractères normaux.
Maintenant, en tant qu'utilisateur, empêchez-vous d'être utilisé dans une attaque par l'exercice.
Maintenant, vous allez probablement avoir l’impression que vous n’êtes plus sur un site Web fiable.
Par exemple, supposons que vous travaillez dans une entreprise et qu'il y ait eu un exercice dans votre entreprise et que vous
vous connectez à votre entreprise et que le code soit exécuté sur vous.
Ensuite, vous ne pouvez plus faire grand chose vous-même, mais vous devez être prudent avec bœuf afin d'exploiter les vulnérabilités qui
nous ont été présentées, par exemple une fausse mise à jour.
Donc, assurez-vous que si vous recevez un message, il y a toujours une mise à jour.
Assurez-vous que vous allez réellement sur le site Web qui fournit cette application.
Donc, si Firefox dit qu’une mise à jour se présente directement sur le site Web de Firefox, voyez s’il existe
une mise à jour et si le téléchargement a lieu depuis ce site, ne le téléchargez pas à partir de
la notification que vous avez reçue.
Assurez-vous également de le télécharger depuis un site Web hâtif de CPS. Une fois que vous l'avez téléchargé, vous pouvez l'inspecter et le
vérifier de la même manière que nous l'avons vu auparavant.
Pour s'assurer qu'il n'y a pas de portes arrière ou quoi que ce soit dedans.
Vous pouvez également vérifier les cinq données pour vous assurer que le fichier n'a pas été manipulé pendant le téléchargement
de la même manière que lorsque nous avons créé le faux login Facebook lorsque vous étiez avec du boeuf.
Donc, ce que vous pouvez faire, c'est quand vous êtes informé que vous êtes déconnecté et reconnectez-vous à nouveau.
Ignore ça.
Allez sur Facebook dot com.
Assurez-vous qu'il passe par le CPS, puis connectez-vous à Facebook, essayez donc toujours de faire attention aux notifications qui s'affichent pour vous indiquer que
vous devez effectuer certaines tâches.
Soyez toujours prudent et ne leur faites jamais confiance.