Nota video

Teks penuh video

Kalau kau bina papan komen yang terus tampal apa saja pengunjung tulis, penyerang boleh selitkan kod JavaScript, dan pelayar setiap pengunjung lain akan jalankan kod itu tanpa soal! Itulah Cross-Site Scripting, atau eks es es. Tapi pelayar membaca aksara kurungan sudut sebagai arahan eic ti em el, bukan sebagai teks biasa!

Jadi, sebelum komen dipaparkan, setiap aksara istimewa ditukar kepada kod entiti yang selamat, supaya skrip jahat cuma muncul sebagai tulisan biasa yang tak boleh berjalan. Ini namanya output encoding. Tapi ada ruangan yang memang perlukan format, macam huruf tebal dan pautan dalam komen!

Jadi, kau tapis eic ti em el guna senarai benarkan, tag selamat dikekalkan, manakala tag skrip dan atribut macam onerror dibuang terus. Ini namanya eic ti em el sanitization. Tapi kod JavaScript kau sendiri pun boleh jadi pintu masuk, bila ia ambil data dari yu ar el lalu tampal terus guna innerHTML!

Jadi, guna textContent atau templat framework yang buat escaping secara automatik, supaya data sentiasa dilayan sebagai teks, bukan kod. Ini namanya pencegahan di o em-based eks es es. Tapi kalau satu lubang terlepas, skrip penyerang tetap boleh berjalan dan hantar data curi ke pelayan dia!

Jadi, laman kau hantar satu header yang beritahu pelayar, hanya skrip dari sumber dipercayai sahaja boleh dijalankan, skrip sisipan dan sumber asing disekat. Ini namanya Content Security Policy. Tapi sasaran kegemaran penyerang ialah cookie sesi, sebab dengan cookie itu dia boleh menyamar sebagai mangsa tanpa kata laluan!

Jadi, kau tandakan cookie sesi dengan bendera HttpOnly, supaya JavaScript langsung tak boleh membacanya, dan tambah Secure serta SameSite untuk lapisan tambahan. Ini namanya cookie HttpOnly. Sekarang kau faham, eks es es berlaku bila input pengguna dijalankan sebagai kod dalam pelayar orang lain, dan ia tergolong dalam kategori Injection di senarai o dablyu ei es pi Top Ten.

Pertahanannya berlapis, iaitu encoding, sanitasi, ei pi ai selamat, si es pi dan cookie HttpOnly. Lepas ni nak belajar apa pula?

Siri Teknologi dan AI dalam animasi 3D LEGO (V916-068) oleh KongsikanDotCom. Tonton lagi di