Porozmawiajmy teraz o tym, jak możemy zapobiegać lukom w lukach, tak jak to się dzieje w przypadku
tych luk, ponieważ za każdym razem, gdy użytkownik wprowadza coś w polu tekstowym lub w parametrze, którego dane wejściowe są
wyświetlane w Hasyimie, jest traktowany tak, jakby był częścią strony, a zatem jeśli jest w
nim javascript, kod jest wykonywany.
Aby zapobiec temu exploitowi, najlepszą rzeczą do zrobienia jest próba zminimalizowania użycia niezaufanych danych wejściowych.
Tak więc za każdym razem, gdy użytkownik wprowadzi coś lub kiedykolwiek coś jest wprowadzane z parametrów, staraj się to zminimalizować.
Upewnij się również, że zawsze uciekniesz, gdziekolwiek to będzie wyświetlane lub używane na pospiesznej stronie e-mail, ponieważ
Access może być wstrzykiwany tylko w miejsca, w których rzeczy są wyświetlane na stronie.
Ale można go również wprowadzić do parametrów niektórych elementów strony Hasyim.
Więc to, co rozumiem przez skracanie, przekształca każdą z tych postaci w to, w co byliby przedstawiani
w pośpiechu.
Możesz to zrobić za pomocą skryptów i możesz to zrobić za pomocą własnego skryptu.
Teraz pokażę ci, jak to się dzieje, teraz jestem tutaj jako moja wrażliwa strona internetowa, której używaliśmy
i zamierzam przejść do tej trzeciej.
I oczywiście widać, że za każdym razem, gdy klikniesz, że ćwiczenie jest uruchomione.
Sprawdźmy ten element.
Teraz ten element to miejsce, w które wstrzyknęliśmy nasz alert.
A jeśli klikniesz prawym przyciskiem myszy i przejdziesz do elementu inspekcyjnego, pokaże nam się wartość Hastey
tej strony lub tego właśnie elementu tutaj zaznaczonego.
Tak więc zamierzam uczynić to większym i jeśli spojrzymy na to tutaj, zobaczysz, że mamy nazwę i
to Zayde, a następnie inne dane wejściowe, które są wiadomością.
To skrypt, a skrypt, w którym robi to skrypt, wykonuje ćwiczenia alarmowe, więc to jest dokładnie to,
co dodaliśmy do niego, kiedy robiliśmy ten komentarz.
Więc za każdym razem, gdy byliśmy na tej stronie, ten fragment kodu zostaje wykonany.
Musimy więc upewnić się, że za każdym razem, gdy użytkownik coś wprowadzi i coś
będzie wyświetlane na stronie lub że coś zostanie użyte gdzieś w argumencie.
Więc nawet idea tutaj, czy nawet Atri, jest tylko przykładem, jest parametrem dnia.
To nie jest scena, na której nigdy nie widzisz tego identyfikatora, ale to może być wstrzykiwany również.
Hakerzy mogą więc próbować wtłaczać rzeczy w parametry.
Mogą próbować wstrzykiwać rzeczy w atrybuty obrazu, na przykład mogą zrobić obraz i wstrzyknąć rzeczy do
źródła lub do ciebie albo innego.
Oto tylko przykład.
I za każdym razem, gdy dane wprowadzane przez użytkownika będą używane w dowolnym miejscu na stronie, więc nawet
jeśli go nie widzisz, jeśli zwykle go nie widzisz, musisz się upewnić, że uciekniesz z tego wejścia i upewnić się,
że nie zawiera on żadnego kodu a jeśli zawiera jakiś kod, który został przekonwertowany na historię, aby
był równoważny, gdy unikniesz tego, zobaczysz to w wiadomości.
Widzisz więc wiadomość jako ćwiczenie alertu skryptowego, ale nigdy nie zostanie wykonana.
Skrypt nigdy nie zostanie faktycznie wykonany na docelowej osobie, gdy go uruchomi.
I właśnie to zapewnia wysoki poziom bezpieczeństwa.
Więc pozwól mi przejść przez ustawienia bezpieczeństwa.
I pozwól mi to zamknąć, a ja zamierzam wysłać to do
wysokiej złożonej i wrócimy do naszego odzwierciedlonego, że te same pomiary zostały wykonane w odzwierciedlonej i
w historii.
A teraz, jeśli spróbujemy wstrzyknąć któryś z naszych kodów, które robiliśmy wcześniej, na przykład, jeśli spróbujemy wstrzyknąć ten
skrypt, pisząc z ćwiczeniem, a następnie zamkniemy skrypt, zobaczysz skrypt dokładnie w taki sam sposób, w
jaki zobaczyłbyś normalna nazwa.
Więc jeśli powiemy tutaj Zayde, zobaczysz moje imię i jeśli wstrzykniemy nasz skrypt, zobaczysz, że pojawia się on tak, jakby to
była normalna nazwa, która się nie pojawia.
Nie tylko widzisz, co jest pomiędzy tagami, a potem kod nawet nie zostanie wykonany.
Jeśli spojrzymy na źródło, zobaczysz, że widzisz cały tag, abyś mógł zobaczyć skrypt.
Możesz zobaczyć zamknięcie znacznika skryptu i wszystko jest odpowiednio wstrzykiwane.
Uważasz, że to powinno zadziałać, ale nie działa, ponieważ witryna sieci Web lub strona internetowa lub
przeglądarka wie, że te tagi powinny być traktowane jako łagodne znaki Hastey i nie powinny być traktowane jako
część kodu.
A to wszystko dzięki funkcji, która jest tu używana, która nazywa się Hasyim znaków specjalnych.
Wszystko to dzięki tej funkcji.
Więc cokolwiek umieszczasz w nazwie, zostało przefiltrowane przez tę funkcję.
Teraz ta funkcja będzie iterować nad każdym wprowadzonym postacią i powie Hasteyowi e-mail lub przeglądarce,
że zmieni ją na odpowiednik w pośpiechu kodu DML.
Dlatego przeglądarka będzie wiedziała, że nie jest to częścią kodu.
I jest to część tego, co powinno być wyświetlane na ekranie jako tekst.
W ten sposób bez względu na to, co spróbujesz wstrzyknąć, zostanie przekonwertowany
na strumień kodu, który będzie wyświetlany na ekranie jak normalny tekst lub normalne znaki.
Teraz jako użytkownik, aby uniemożliwić sobie korzystanie z ataku na ćwiczenia.
Teraz przychodzisz do Ciebie prawdopodobnie będzie wyglądać jak na zaufanej stronie.
Załóżmy na przykład, że pracujesz w firmie i że w firmie było ćwiczenie i logujesz
się do firmy, a kod zostaje wykonany na tobie.
Wtedy niewiele możesz zrobić samemu, ale musisz uważać na wołowinę, abyśmy mogli wykorzystać luki w
zabezpieczeniach, które nam pokazano, na przykład fałszywą aktualizację.
Więc upewnij się, że jeśli dostaniesz, jeśli pojawi się komunikat, że jest aktualizacja.
Upewnij się, że rzeczywiście przechodzisz na stronę internetową, która zapewnia tę aplikację.
Jeśli więc Firefox powiedział, że jest aktualizacja, przejdź do twarzy strony Firefoksa i sprawdź,
czy rzeczywiście jest aktualizacja i jeśli jest pobierana z tej strony, nie pobieraj
jej z otrzymanego powiadomienia.
Upewnij się także, że pobierasz go z internetowej witryny CPS, a po pobraniu możesz ją sprawdzić i
sprawdzić w ten sam sposób, co wcześniej.
Aby upewnić się, że nie ma tylnych drzwi ani niczego w tym miejscu.
Możesz także sprawdzić pięć, aby upewnić się, że plik nie został zmanipulowany podczas pobierania w
taki sam sposób, kiedy zrobiliśmy fałszywe logowanie na Facebooku, gdy byłeś z wołowiną.
Możesz więc za każdym razem, gdy usłyszysz komunikat o wylogowaniu, a następnie zaloguj się ponownie.
Zignoruj to.
Idź do Facebooka dot com.
Upewnij się, że przechodzi przez serwer CPS, a następnie zaloguj się na Facebooku, więc zawsze staraj się uważać na pojawiające się powiadomienia,
informując o konieczności zrobienia czegoś.
Zawsze bądź ostrożny i nigdy nie ufaj im.