Мени

Водич за ХТМЛ ињекције: Врсте и превенција са примерима

html injection tutorial

Испробајте Наш Инструмент За Елиминисање Проблема

Дубински увид у ХТМЛ убризгавање:

Да бисмо стекли бољу перцепцију ХТМЛ Ињецтион-а, прво бисмо требали знати шта је ХТМЛ.

ХТМЛ је означни језик, где су сви елементи веб странице написани у ознакама. Углавном се користи за израду веб страница. Веб странице се прегледачу шаљу у облику ХТМЛ докумената. Тада се ти ХТМЛ документи претварају у уобичајене веб локације и приказују крајњим корисницима.

Овај водич ће вам дати потпун преглед ХТМЛ Ињецтион-а, његових врста и превентивних мера, заједно са практичним примерима у једноставним терминима за ваше лако разумевање концепта.

ХТМЛ Ињецтион

Шта ћете научити:

Шта је ХТМЛ Ињецтион?

Суштина ове врсте ињекционог напада је убризгавање ХТМЛ кода кроз рањиве делове веб локације. Злонамерни корисник шаље ХТМЛ код кроз било које осетљиво поље са циљем да промени дизајн веб странице или било које информације које се приказују кориснику.

како отворити дат датотеку на ипхоне

Као резултат, корисник може видети податке које је послао злонамерни корисник. Према томе, генерално, ХТМЛ Ињецтион је само убризгавање кода означног језика у документ странице.

Подаци који се шаљу током ове врсте напада ињекцијом могу се веома разликовати. То може бити неколико ХТМЛ тагова, који ће само приказати послане информације. Такође, то може бити читав лажни образац или страница. Када се догоди овај напад, прегледач обично злонамерне корисничке податке тумачи као легитимне и приказује их.

Промена изгледа веб странице није једини ризик који доноси ова врста напада. Прилично је сличан КССС нападу, где злонамерни корисник краде идентитете друге особе. Стога се током овог напада ињекцијом може догодити и крађа идентитета друге особе.

Врсте убризгавања ХТМЛ-а

Чини се да овај напад није тешко разумети или извести, јер се ХТМЛ сматра прилично једноставним језиком. Међутим, постоје различити начини за извођење ове врсте напада. Такође можемо разликовати различите врсте ове ињекције.

Прво, различите врсте се могу сортирати према ризицима које доносе.

Као што је поменуто, овај ињекцијски напад може се извести у две различите сврхе:

  • Да бисте променили изглед приказане веб странице.
  • Да украде идентитет друге особе.

Такође, овај напад убризгавањем може се извршити кроз различите делове веб локације, тј. Поља за унос података и везу до веб локације.

Међутим, главни типови су:

  • Похрањено ХТМЛ убризгавање
  • Рефлецтед ХТМЛ Ињецтион

# 1) Похрањено ХТМЛ убризгавање:

Главна разлика између те две врсте убризгавања је у томе што се ускладиштени напад убризгава када се злонамерни ХТМЛ код сачува на веб серверу и извршава сваки пут када корисник позове одговарајућу функционалност.

Међутим, у случају рефлектованог убризгавања, злонамерни ХТМЛ код се не чува трајно на веб серверу. Рефлецтед Ињецтион се дешава када веб локација одмах одговори на злонамерни унос.

# 2) Рефлектирано убризгавање ХТМЛ-а:

Ово се опет може поделити на више врста:

  • Рефлецтед ГЕТ
  • Рефлецтед ПОСТ
  • Рефлецтед УРЛ

Рефлецтед Ињецтион напад може се извести различито у складу са ХТТП методама, тј. ГЕТ и ПОСТ. Подсетио бих да се са методом ПОСТ подаци шаљу, а са методом ГЕТ захтевају подаци.

Да бисмо знали који се метод користи за одговарајуће елементе веб странице, можемо да проверимо извор странице.

На пример , тестер може да провери изворни код за образац за пријаву и да утврди који се метод користи за њега. Тада се може одабрати одговарајући метод убризгавања ХТМЛ.

ХТМЛ Ињецтион метход

Рефлецтед ГЕТ Ињецтион се дешава када се наш унос приказује (одражава) на веб локацији. Претпоставимо да имамо једноставну страницу са обрасцем за претрагу која је рањива на овај напад. Затим, ако бисмо откуцали било који ХТМЛ код, он ће се појавити на нашој веб локацији и истовремено ће бити убачен у ХТМЛ документ.

На пример, уносимо једноставан текст са ХТМЛ ознакама:

Текст за убризгавање ХТМЛ-а

Рефлецтед ПОСТ ХТМЛ Ињецтион је мало теже. До тога долази када се шаље злонамерни ХТМЛ код уместо тачних параметара ПОСТ методе.

На пример , имамо образац за пријаву који је рањив на ХТМЛ напад. Подаци уписани у образац за пријаву шаљу се ПОСТ методом. Затим, ако бисмо уместо тачних параметара укуцали било који ХТМЛ код, он ће бити послат ПОСТ методом и приказан на веб локацији.

Да бисте извршили Рефлецтед ПОСТ ХТМЛ напад, препоручује се употреба посебног додатка прегледача који ће лажирати послате податке. Један од њих је додатак Мозилла Фирефок „Тампер Дата“. Додатак преузима послане податке и омогућава кориснику да их промени. Тада се промењени подаци шаљу и приказују на веб локацији.

На пример, ако користимо такав додатак, послали бисмо исти ХТМЛ код

или потражите код обрасца, ако желите да тестирате са нечим сложенијим

отварање епс датотеке у Виндовсима

Унесите текст за претрагу

Ако се прикаже ХТМЛ код који је негде сачуван, тестер може бити сигуран да је овај напад убризгавањем могућ. Тада се може испробати сложенији код - за Пример , за приказ лажног обрасца за пријаву.

Друго решење је ХТМЛ Ињецтион сцаннер. Аутоматско скенирање против овог напада може вам уштедети пуно времена. Желим да обавестим да нема много алата за тестирање ХТМЛ Ињецтион-а у поређењу са другим нападима.

Међутим, једно од могућих решења је ВАС апликација. ВАС се може назвати прилично јаким скенером рањивости, јер се тестира на различитим улазима, а не само зауставља са првим неуспехом.

Корисно је за тестирање, можда као што је поменуто у горе наведеном додатку за прегледач „Тампер Дата“, добија послане податке, омогућава тестеру да их промени и шаље у прегледач.

Такође можемо пронаћи неке мрежне алате за скенирање, где морате само да наведете везу до веб странице и извршиће се скенирање против ХТМЛ напада. Када се тестирање заврши, приказаће се резиме.

Желео бих да коментаришем да приликом одабира алата за скенирање морамо обратити пажњу на то како анализира резултате и да ли је довољно тачан или не.

недефинисана референца на класу ц ++

Међутим, треба имати на уму да ручно тестирање не треба заборавити. На овај начин можемо бити сигурни који се тачно улази покушавају и које тачне резултате добијамо. Такође на овај начин је лакше анализирати и резултате.

Из свог искуства у каријери тестирања софтвера, желео бих да коментаришем да бисмо за оба начина тестирања требали добро познавати ову врсту ињекција. У супротном, било би тешко одабрати одговарајући алат за аутоматизацију и анализирати његове резултате. Такође, увек се препоручује да не заборавите да тестирате ручно, јер нас то само чини сигурнијим у квалитет.

Како спречити убризгавање ХТМЛ-а?

Нема сумње да је главни разлог овог напада непажња програмера и недостатак знања. Ова врста напада убризгавањем јавља се када улаз и излаз нису ваљано потврђени. Стога је главно правило за спречавање ХТМЛ напада одговарајућа провера података.

Сваки унос треба проверити да ли садржи било који скриптни код или било који ХТМЛ код. Обично се проверава ако код садржи неку посебну скрипту или ХТМЛ заграде -,.

Постоји много функција за проверу да ли код садржи посебне заграде. Избор функције провере зависи од програмског језика који користите.

Треба запамтити, то добро сигурносно тестирање је такође део превенције. Желео бих да обратим пажњу да је, с обзиром на то да је напад на ХТМЛ Ињецтион врло редак, мање литературе о њему и мање скенера за аутоматско тестирање. Међутим, овај део сигурносног тестирања заиста не би требало пропустити, јер никада не знате када се то може догодити.

Такође, програмер и тестер треба да имају добро знање о томе како се изводи овај напад. Добро разумевање овог процеса напада може вам помоћи да га спречите.

Поређење са другим нападима

У поређењу са осталим могућим нападима, овај напад се дефинитивно неће сматрати толико ризичним као СКЛ Ињецтион или ЈаваСцрипт Ињецтион напад или чак може бити КССС. Неће уништити целу базу података или украсти све податке из базе података. Међутим, то не треба сматрати безначајним.

Као што је раније поменуто, главна сврха ове врсте убризгавања је промена приказане веб локације са злонамерном наменом, приказивање послатих информација или података крајњем кориснику. Ти ризици се могу сматрати мање важним.

Међутим, промењен изглед веб странице може коштати репутације ваше компаније. Ако би злонамерни корисник уништио изглед ваше веб странице, то може променити мишљење посетиоца о вашој компанији.

Треба имати на уму да је још један ризик који овај напад на веб локацију доноси крађа идентитета другог корисника.

Као што је поменуто, помоћу ХТМЛ Ињецтион-а злонамерни корисник може убризгати целу страницу која ће бити приказана крајњем кориснику. Тада, ако ће крајњи корисник своје податке за пријаву навести на лажној страници за пријављивање, они ће бити послати злонамерном кориснику. Овај случај је, наравно, ризичнији део овог напада.

Треба напоменути да се за крађу података других корисника ова врста напада ређе бира, јер постоји много других могућих напада.

Међутим, врло је сличан КССС нападу који краде корисничке колачиће и идентитете других корисника. Постоје и КССС напади који су засновани на ХТМЛ-у. Стога тестирање против КССС и ХТМЛ напада може бити врло слично и обавља се заједно.

Закључак

Како ХТМЛ Ињецтион није толико популаран као други напади, може се сматрати мање ризичним од осталих напада. Стога се тестирање против ове врсте ињекција понекад прескаче.

Такође, приметно је, да дефинитивно има мање литературе и информација о ХТМЛ Ињецтион-у. Стога тестери могу одлучити да не извршавају ову врсту тестирања. Међутим, у овом случају можда није довољно процењен ризик од напада ХТМЛ-а.

Као што смо анализирали у овом упутству, овом врстом убризгавања цео дизајн ваше веб странице може бити уништен или чак украдени подаци корисника. Због тога се препоручује да се Ињецтион ХТМЛ укључи у сигурносно тестирање и уложи добро знање.

Да ли сте наишли на неко типично ХТМЛ Ињецтион? Слободно поделите своја искуства у одељку за коментаре испод.

Препоручено читање

^