öncelikle "xss", bu yöntemin yeni kısaltması. eski kısaltması olan "css", aynı zamanda başka bir terimin (cascading style sheets) daha kısaltması olduğu için şimdi şimdi xss oldu.
basitçe nasıl anlatabiliriz. hmm. şimdi sen bir siteye bir şekilde içerik gönderiyorsun diyelim, örneğin benim buraya yorum yazmam gibi, ya da blog yazmam gibi ve saire. internette görüntülemek için kullanılan temel dil html dili olduğundan, bu yazılar daha sonra gösterilirken güvenlik açısından html filtrelerinden geçirilir genel olarak. çoğunlukla da javascript açısından anlamlı kodların çalıştırılmasını önlemek adına yapılır.
örneğin, aşağıdaki javascript kodu ufak bir uyarı penceresi çıkartır normal html olarak gönderildiğinde:
<script>alert("hello word excel!");</script>
bu satırı ben bildirgec'te bir yorum olarak eklediğimde, (olması gerektiği gibi) yani yazı olarak görüntülersiniz. ama güvenliği bu kadar iyi olmayan bazı sitelerde ise yukarıda yazdığım kod mesajımı okuyanların bilgisayarlarında çalışacaktır.
xss'te amaç, tabii ki uyarı penceresi çıkartmak değil. genelde hor görülen bir "scripting dili" olan javascript genel kanının aksine çok güçlü bir dildir. kötü niyetli kişi, eğer iyi javascript biliyor ise bu açığı kullanarak sayfanın görüntüsünü tamamen değiştirerek size login olmanız için uyarı verdikten sonra arka planda şifreyi kendisine gönderecek bir form tasarlayabilir. ya da sizin çerezlerinizde (cookie) yer alan üyelik bilgilerini kendisine gönderebilir. ya da sizin butonlara basarak yaptığınız herhangi bir işlemi sanki siz yapmışınız gibi sizin isteğiniz dışında tetikleyebilir. (arkadaş olarak ekle, fotoğrafına puan ver, favorilerime ekle, öner vs gibi butonlar düşünebilirsin burada).
korunma amaçlı olarak şunları düşünebilirsin:
- bir sitede daha önceden görmediğin bir ek özellik varsa ve bu özellik senden gizli bir bilgi istiyorsa, yöneticileri uyararak özelliği kullanmayabilirsin.
- güvenli görmediğin sitelere girmezsin.
- sitelere linklerden deÄŸil de, adresini yazarak gidersin.
- çerez tutmazsın bilgisayarında.
- javascript'i kapatırsın.
- internete girmezsin.
:)
selametle...
