Acum, hai să vorbim despre modul în care putem preveni vulnerabilitățile exceselor așa cum se întâmplă aceste vulnerabilități,
deoarece ori de câte ori un utilizator intră în ceva într-o casetă de text sau într-un parametru pe care inputul este afișat
în Hasyim altceva, acesta este tratat ca și cum ar face parte din pagină și dacă există
javascript în el codul este executat.
Deci, pentru a împiedica acest exploit, cel mai bun lucru pe care trebuie să-l faceți este să încercați și să minimalizați utilizarea intrărilor neimpozitate.
Deci, oricând o intrare de utilizator ceva sau oricând ceva este de intrare de la parametrii încearcă să minimizeze acest lucru.
De asemenea, asigurați-vă că evitați mereu ori de câte ori aceasta va fi afișată sau folosită în pagina de urgență
a e-mailului, deoarece accesul poate fi injectat numai în locurile în care lucrurile sunt afișate pe pagină.
Dar poate fi injectat și în parametrii anumitor elemente ale paginii Hasyim.
Deci, ce vreau să spun prin eliminare este convertirea fiecăruia dintre aceste personaje la ceea ce vor fi
reprezentate în grabă.
Puteți face acest lucru folosind scripturi și puteți face acest lucru folosind propriul scenariu.
Acum, permiteți-mi să vă arăt cum se întâmplă acest lucru acum. Sunt aici ca pagina mea de internet vulnerabilă pe care o folosim
și o să mă duc la cea de-a treia.
Și, evident, puteți vedea că de fiecare dată când faceți clic pe faptul că exercițiul rulează.
Asa ca sa inspectam acest element.
Acum acest element este locul în care am injectat alerta noastră.
Și dacă faceți clic dreapta și continuați să inspectați elementul, acesta ne va arăta valoarea Hastey a acestei
pagini sau a ieșirii din acest element particular evidențiat aici.
Deci o să fac asta mai mare și dacă ne uităm la ea chiar aici vei vedea că
avem numele și Zayde și apoi cealaltă intrare care este mesajul.
Este un scenariu și scenariul în care scenariul face acest lucru face alertă de alergare, așa că este exact ceea
ce am injectat în ea când am făcut acest comentariu.
Deci, de fiecare dată când eram pe această pagină, acest cod de cod este executat.
Trebuie să facem că trebuie să ne asigurăm de fiecare dată când un utilizator intră în ceva și
că ceva va fi afișat pe o pagină sau că ceva va fi folosit undeva în argument.
Deci, chiar ideea aici sau chiar Atri ideea este doar de exemplu este un parametru al zilei.
Nu e stadiul în care nu vezi niciodată acest ID, dar acest lucru poate fi injectabil poate fi injectat, de asemenea.
Deci, hackerii pot încerca să injecteze lucrurile în parametri.
Ei pot încerca să injecteze lucruri în atributele de imagine, de exemplu, pot face o imagine și pot injecta lucruri
în sursă sau în tine sau altceva.
Deci, aici este doar un exemplu.
De fiecare dată când utilizatorul va fi folosit oriunde pe pagină, chiar dacă nu îl vedeți, de obicei, dacă
nu îl vedeți, trebuie să vă asigurați că evitați acea intrare și asigurați-vă că nu conține nici un cod și
dacă conține orice cod care este convertit în istoricul său ca fiind echivalent odată ce ați scăpat
de acest lucru, veți vedea acest lucru în mesaj.
Deci, vedeți mesajul ca exercițiu de alertă script, dar acesta nu va fi executat niciodată.
Scenariul nu va fi executat niciodată pe persoana vizată atunci când o execută.
Iată tocmai ceea ce se datorează ispășirilor de nivel înalt de securitate.
Permiteți-mi să trec prin setările de securitate.
Și lasă-mă să închid acest lucru și o să trimit asta la
o înaltă prezentată și ne vom întoarce la reflecția noastră, că aceleași măsurători sunt luate în reflectat și
în poveste.
Și dacă încercăm să injectăm oricare dintre codurile pe care le-am făcut înainte, de exemplu, dacă încercăm să injectăm acest scenariu,
astfel încât scenariul cu exercițiu și apoi să închidem scenariul, veți vedea scenariul exact așa cum ați fi
văzut un nume normal.
Deci, dacă spunem Zayde aici, veți vedea numele meu și dacă vom injecta scriptul nostru veți vedea că apare ca și cum
ar fi un nume normal, nu apare.
Nu vedeți doar ce se află între etichete și apoi codul nu se execută nici măcar.
Dacă ne uităm la sursă, veți vedea că vedeți toată eticheta, astfel încât să puteți vedea scenariul.
Puteți vedea închiderea etichetei de script și totul este injectat corect.
Deci, credeți că acest lucru ar trebui să funcționeze, dar nu funcționează deoarece site-ul Web sau pagina web
sau browser-ul știe că aceste etichete ar trebui tratate ca caractere ușoare Hastey și nu ar trebui tratate ca parte
a codului.
Și asta este datorită unei funcții care este utilizată aici, care este numită Hasyim de personaje speciale.
Prin urmare, datorită acestei funcții.
Deci, indiferent ce puneți în nume, a fost filtrat prin această funcție.
Acum această funcție se va repeta peste fiecare caracter pe care l-ați introdus și îi va comunica e-mailul Hastey
sau browserul pe care îl va schimba la codul său echivalent în DML.
Prin urmare, browserul va ști că acest lucru nu face parte din cod.
Și aceasta este o parte a ceea ce ar trebui să fie afișat pe ecran ca text.
Și în acest fel, indiferent de ce încercați să injectați, va fi convertit
într-un flux de cod care va fi afișat pe ecran doar ca textul normal sau caracterele normale.
Acum ca un utilizator pentru a vă preveni de a fi folosit într-un atac de exercițiu.
Acum, veți veni la dvs. va arăta, probabil, ca și cum ați ieșit dintr-un site de încredere.
De exemplu, să presupunem că lucrați într-o companie și că a existat un exercițiu în compania dvs. și
vă conectați la compania dvs. și codul este executat asupra dvs.
Apoi, nu există prea multe lucruri pe care să le poți face, dar trebuie să fii atent cu carnea de vită ca
să exploatăm vulnerabilitățile care ne-au fost prezentate, de exemplu, o actualizare falsă.
Deci, asigurați-vă că atunci când primiți un mesaj dacă primiți un mesaj întotdeauna că există o actualizare.
Asigurați-vă că mergeți de fapt la site-ul web care oferă acea aplicație.
Deci, dacă Firefox a spus că există o actualizare mergeți la fața locului pe site-ul de fata a Firefox și
a vedea dacă există de fapt o actualizare și dacă nu este descărcat de pe site-ul respectiv, nu-l descărcați de
la notificarea pe care le-ați primit.
De asemenea, asigurați-vă că îl descărcați de pe un site urât CPS și, odată ce îl descărcați, îl puteți inspecta și
verifica în același mod pe care l-am văzut înainte.
Pentru a vă asigura că nu există uși spate sau nimic în el.
De asemenea, puteți verifica cele cinci, pentru a vă asigura că fișierul nu a fost manipulat în timp ce acesta
a fost descărcat în același mod atunci când am făcut logoul Facebook fals când aveați carne de vită.
Deci, ce puteți face este când vi se spune că ați fost deconectat și vă rugăm să reveniți din nou.
Ignorați asta.
Du-te la Facebook dot com.
Asigurați-vă că trece prin CPS și apoi conectați-vă la Facebook, astfel încât întotdeauna să încercați să fiți atenți la notificările care vă apar, spunându-vă
că trebuie să faceți lucruri.
Fiți întotdeauna atent și nu aveți încredere în ei.