ตอนนี้เรามาพูดถึงวิธีที่เราสามารถป้องกันช่องโหว่ส่วนเกินที่เกิดขึ้นกับช่องโหว่เหล่านี้ได้เพราะเมื่อใดก็ตามที่ผู้ใช้ป้อนข้อมูลลงในกล่องข้อความ หากมีจาวาสคริปต์ในนั้นรหัสจะถูกดำเนินการ
ดังนั้นเพื่อป้องกันการใช้ประโยชน์จากสิ่งนี้สิ่งที่ดีที่สุดที่ต้องทำคือพยายามลดการใช้อินพุตที่ไม่น่าเชื่อถือให้น้อยที่สุด
ดังนั้นเมื่อใดก็ตามที่ผู้ใช้ป้อนบางสิ่งหรือทุกครั้งที่มีการป้อนข้อมูลจากพารามิเตอร์พยายามย่อให้เล็กที่สุด
นอกจากนี้ตรวจสอบให้แน่ใจว่าคุณหลบหนีทุกที่ที่จะแสดงหรือนำไปใช้ในหน้าอีเมลที่รีบร้อนเพราะ Access สามารถแทรกเข้าไปในสถานที่ที่สิ่งต่าง
ๆ ปรากฏบนหน้า
แต่มันยังสามารถถูกฉีดเข้าไปในพารามิเตอร์ขององค์ประกอบบางอย่างของหน้า Hasyim
ดังนั้นสิ่งที่ฉันหมายถึงโดยการให้คะแนนคือการแปลงอักขระแต่ละตัวเหล่านี้เป็นสิ่งที่พวกเขาจะแสดงโดยเร็ว
คุณสามารถทำได้โดยใช้สคริปต์และคุณสามารถทำได้โดยใช้สคริปต์ของคุณเอง
ตอนนี้ให้ฉันแสดงให้คุณเห็นว่าสิ่งนี้เกิดขึ้นตอนนี้ฉันอยู่ที่นี่ในฐานะหน้าเว็บที่มีช่องโหว่ของฉันที่เราใช้งานอยู่
และเห็นได้ชัดว่าคุณจะเห็นว่าทุกครั้งที่คุณคลิกที่การออกกำลังกายจะทำงาน
ลองตรวจสอบองค์ประกอบนี้กัน
ตอนนี้องค์ประกอบนี้เป็นที่ที่เราฉีดการแจ้งเตือนของเรา
และถ้าคุณคลิกขวาและไปที่องค์ประกอบการตรวจสอบมันจะแสดงจำนวน Hastey
ของหน้านี้หรือองค์ประกอบที่เฉพาะเจาะจงที่นี่
ดังนั้นฉันจะทำให้มันใหญ่ขึ้นและถ้าเราดูตรงนี้คุณจะเห็นว่าเรามีชื่อและ Zayde
แล้วจากนั้นอินพุตอื่นซึ่งเป็นข้อความ
มันเป็นสคริปต์และสคริปต์ที่สคริปต์ใช้ในการแจ้งเตือนการออกกำลังกายดังนั้นมันจึงเป็นสิ่งที่เราฉีดเข้าไปเมื่อเราแสดงความคิดเห็นนั้น
ดังนั้นทุกครั้งที่เราอยู่ในหน้านี้โค้ดนี้จะถูกประมวลผล
ดังนั้นเราต้องทำคือเราต้องแน่ใจว่าทุกครั้งที่ผู้ใช้ป้อนบางสิ่งและบางสิ่งจะปรากฏบนหน้าเว็บหรือบางสิ่งจะถูกใช้ในการโต้แย้ง
ดังนั้นแม้แต่ความคิดที่นี่หรือแม้แต่ Atri ความคิดก็เป็นเพียงตัวอย่างเช่นพารามิเตอร์ของวัน
มันไม่ใช่ขั้นตอนที่คุณไม่เคยเห็น ID นี้ แต่นี่เป็นสิ่งที่สามารถฉีดได้สามารถฉีดได้เช่นกัน
ดังนั้นแฮกเกอร์สามารถลองฉีดสิ่งต่างๆลงในพารามิเตอร์ได้
พวกเขาสามารถลองอัดสิ่งต่าง ๆ ลงในคุณสมบัติของภาพได้เช่นพวกเขาสามารถทำรูปและฉีดสิ่งต่างๆลงในแหล่งที่มาหรือเป็นคุณ
นี่คือตัวอย่างที่นี่
และทุกครั้งที่มีการป้อนข้อมูลของผู้ใช้จะถูกนำไปใช้ที่ใดก็ได้บนหน้าเว็บดังนั้นแม้ว่าคุณจะไม่เห็นถ้ามักจะไม่เห็นคุณจำเป็นต้องตรวจสอบให้แน่ใจว่าคุณได้หลีกเลี่ยงการป้อนข้อมูลนั้นและตรวจสอบว่าไม่มีรหัสใด ๆ และถ้ามันมีรหัสใด
ๆ ที่มันถูกแปลงเป็นประวัติของมันจะเทียบเท่าเมื่อคุณหลบหนีสิ่งนี้คุณจะเห็นสิ่งนี้ในข้อความ
ดังนั้นคุณจะเห็นข้อความว่าเป็นแบบฝึกหัดการแจ้งเตือนสคริปต์ แต่จะไม่ถูกดำเนินการ
สคริปต์จะไม่ถูกเรียกใช้งานจริงกับบุคคลเป้าหมายเมื่อรันสคริปต์
และนี่คือสิ่งที่การแก้ไขระดับความปลอดภัยขั้นสูง
ดังนั้นให้ฉันผ่านการตั้งค่าความปลอดภัย
ขอผมปิดนี่สิแล้วผมจะส่งนี่ไปส่งค่าสูงและเราจะกลับไปที่การสะท้อนของเรานี่การวัดแบบเดียวกันนั้นถูกนำมาใช้ในการสะท้อนและในเรื่อง
และตอนนี้ถ้าเราพยายามที่จะฉีดรหัสใด
ๆ ของเราที่เราทำมาก่อนตัวอย่างเช่นถ้าเราพยายามที่จะฉีดสคริปต์นี้เพื่อให้สคริปต์กับการออกกำลังกายและจากนั้นเราปิดสคริปต์คุณจะเห็นสคริปต์ในลักษณะเดียวกัน ชื่อปกติ
ดังนั้นถ้าเราบอกว่า Zayde ที่นี่คุณจะเห็นชื่อของฉันและถ้าเราฉีดสคริปต์ของเราคุณจะเห็นมันปรากฏราวกับว่ามันเป็นชื่อปกติมันจะไม่ปรากฏ
คุณไม่เพียง แต่เห็นว่ามีอะไรอยู่ระหว่างแท็กจากนั้นโค้ดก็ยังไม่ถูกประมวลผล
หากเราดูที่แหล่งที่มาคุณจะเห็นว่าคุณเห็นแท็กทั้งหมดเพื่อให้คุณสามารถดูสคริปต์
คุณสามารถดูการปิดแท็กสคริปต์และทุกอย่างถูกฉีดอย่างถูกต้อง
ดังนั้นคุณคิดว่าสิ่งนี้ควรใช้งานได้
แต่มันไม่ทำงานเพราะเว็บไซต์หรือหน้าเว็บหรือเบราว์เซอร์รู้ว่าแท็กเหล่านี้ควรถูกใช้เป็นอักขระตัวอ่อน Hastey และไม่ควรถือว่าเป็นส่วนหนึ่งของรหัส
และนี่คือทั้งหมดที่ต้องขอบคุณฟังก์ชั่นที่ใช้ที่นี่ซึ่งเรียกว่า Hasyim ของตัวละครพิเศษ
ดังนั้นทั้งหมดนี้ต้องขอบคุณฟังก์ชั่นนี้
ดังนั้นสิ่งที่คุณใส่ในชื่อจะถูกกรองผ่านฟังก์ชั่นนี้
ตอนนี้ฟังก์ชั่นนี้จะวนซ้ำตัวละครแต่ละตัวที่คุณป้อนและมันจะบอกอีเมล์ Hastey หรือเบราว์เซอร์ว่ามันจะเปลี่ยนมันให้เทียบเท่ากับมันในรหัส
DML เร่งด่วน
ดังนั้นเบราว์เซอร์จะรู้ว่านี่ไม่ใช่ส่วนหนึ่งของรหัส
และนี่คือส่วนหนึ่งของสิ่งที่ควรแสดงบนหน้าจอเป็นข้อความ
และด้วยวิธีนี้ไม่ว่าคุณจะพยายามฉีดมันจะถูกแปลงเป็นรหัสที่จะปรากฏบนหน้าจอเช่นข้อความปกติหรือตัวอักษรปกติ
ตอนนี้ในฐานะผู้ใช้เพื่อป้องกันตัวเองจากการถูกใช้ในการโจมตีการออกกำลังกาย
ตอนนี้คุณกำลังมาหาคุณอาจดูเหมือนว่าคุณกำลังออกจากเว็บไซต์ที่เชื่อถือได้
ตัวอย่างเช่นสมมติว่าคุณทำงานใน บริษัท และมีการออกกำลังกายใน บริษัท ของคุณและคุณกำลังเข้าสู่
บริษัท ของคุณและรหัสจะถูกดำเนินการกับคุณ
จากนั้นมีไม่มากที่คุณสามารถทำได้ด้วยตัวคุณเอง แต่คุณต้องระวังเนื้อวัวเราด้วยเพื่อที่จะใช้ช่องโหว่ที่เราแสดงให้เห็นเช่นการอัพเดทปลอม
ดังนั้นตรวจสอบให้แน่ใจเมื่อคุณได้รับถ้าคุณได้รับข้อความเสมอว่ามีการปรับปรุง
ตรวจสอบให้แน่ใจว่าคุณไปที่เว็บไซต์ที่ให้แอปพลิเคชันนั้นจริงๆ
ดังนั้นหาก Firefox
บอกว่ามีการอัพเดตให้ไปที่เว็บไซต์ของใบหน้าของ Firefox และดูว่ามีการอัพเดทจริงหรือไม่และถ้ามีการดาวน์โหลดจากเว็บไซต์นั้นอย่าดาวน์โหลดจากการแจ้งเตือนที่คุณได้รับ
ตรวจสอบให้แน่ใจว่าคุณดาวน์โหลดจากเว็บไซต์ CPS ที่รวดเร็วและเมื่อคุณดาวน์โหลดคุณสามารถตรวจสอบและตรวจสอบในลักษณะเดียวกับที่เราเคยเห็นมาก่อน
เพื่อให้แน่ใจว่าไม่มีประตูหลังหรืออะไรในนั้น
นอกจากนี้คุณยังสามารถตรวจสอบห้ารายการเพื่อให้แน่ใจว่าไฟล์นั้นไม่ได้รับการจัดการในขณะที่มันถูกดาวน์โหลดในลักษณะเดียวกันเมื่อเราทำการลงชื่อเข้าใช้ Facebook
ปลอมเมื่อคุณมีเนื้อ
ดังนั้นสิ่งที่คุณสามารถทำได้คือเมื่อใดก็ตามที่คุณบอกว่าคุณออกจากระบบแล้วโปรดลงชื่อเข้าใช้อีกครั้ง
ไม่สนใจสิ่งนั้น
ไปที่ Facebook dot com
ตรวจสอบให้แน่ใจว่ากำลังดำเนินการผ่าน CPS จากนั้นเข้าสู่ระบบ Facebook ดังนั้นควรระมัดระวังในการแจ้งเตือนที่จะบอกคุณว่าคุณต้องทำสิ่งต่าง
ๆ
ระวังและไม่ไว้ใจพวกเขาเสมอ