ByThe

Diğer web sitelerine bağlantılar enjekte etmek için XSS açıkları nasıl kullanılır?

  • 7

İki gün önce, İngiliz SEO ustalarından Tom Anthony, Google örümceklerinde , Black Hat SEO tarafından XSS açıklarını kullanarak diğer web sitelerine bağlantılar enjekte etmek için kullanılabilecek bir güvenlik açığına maruz kaldı ve bu bağlantıların Google örümcekleri tarafından tarandığı belirlendi. Bu güvenlik açığından büyük ölçüde yararlanılırsa, ağırlık akışını ve arama sıralamasını açıkça etkileyecektir.

Tom bu güvenlik açığını geçtiğimiz Kasım ayında Google’a bildirdi, ancak şu ana kadar Google bu güvenlik açığını çözmedi. "Google’ın mevcut koruma mekanizması bu kötüye kullanımı önlemelidir, ancak ilgili ekip doğrulamayı kontrol ediyor. . " Ayrıca Google, Tom’a cevap verirken bazı “dahili iletişim zorluklarından” bahsetti: Büyük olduğunda bu tür sorunlar mı var?

Google beş aydır herhangi bir işlem yapmadığından, Tom bu güvenlik açığını açığa vurmaya karar verdi: Web yöneticileri, web sitelerinin XSS güvenlik açığı olup olmadığını kontrol etmekte ve web sitelerinin enjekte edilmesini önlemek için önlem almakta iyidir. Google, Tom’un alakalı bilgiler yayınlayacağını kabul etti ve oldukça güvenli görünüyor.

XSS saldırısı nedir?
XSS saldırıları, siteler arası komut dosyası çalıştırma saldırılarının anlamı Çapraz Site Komut Dosyası için kısadır. Siteler Arası Komut Dosyası kısaltmasının CSS olması gerektiği, ancak sayfa stil sayfasının CSS'si ile tekrarlandığı, siteler arası komut dosyası çalıştırma saldırısının XSS olarak değiştiği söylenir.

XSS bir kod enjeksiyon saldırısıdır. Çoğu web sitesinde, arama işlevi, UGC kullanıcı katkısı içeriği web sitesi gönderme işlevi, komut dosyası yönelimli dönüş vb. Gibi URL'yi isteğe bağlı olarak değiştirebilecek bazı işlev komut dosyaları bulunur. Örneğin, arama kavramı, URL genellikle domain.com/search.php?keyword veya domain.com/?s=keyword (SEO’nun günlük arama işlevi bu URL biçimindedir) şeklindedir; Herhangi bir karakter.

Peki, anahtar kelime bölümü bir komut dosyası ile değiştirilirse ne olur? Örneğin, domain.com/?s= <script> uyarısı ('XSS') </script>. Böyle bir güvenlik açığına sahip bir web sitesi, bir URL'ye kötü amaçlı bir komut dosyası enjekte edildiğinde, hiçbir güvenlik filtresinin gerçekleştirilmediğini ve tarayıcının kötü amaçlı bir komut dosyası olduğunu bilmediği ve bu nedenle kötü amaçlı bir komut dosyası çalıştırıldığı anlamına gelir.

XSS, hassas kullanıcı bilgileri elde etmek için kullanılabilir, kullanıcıyı web sitesine istek yapmak için taklit etmek için kullanılabilir, vb., Ayrıca Black Hat SEO'nun bağlantıları enjekte etmek için kullanabileceği bir güvenlik açığı olan oluşturulan HTML koduna içerik eklemek için komut dosyaları da çalıştırabilir.

Diğer web sitelerine bağlantılar enjekte etmek için XSS güvenlik açığı nasıl kullanılır
URL’deki parametreleri değiştirin, bunları komut dosyalarıyla değiştirin, tarayıcıda komut dosyalarını çalıştırın, HTML’ye içerik ekleyin, böylece bağlantılar da ekleyebilirsiniz. Tabii ki, sadece bağlantıyı görüntülemek için kullanıcının tarayıcısına tıklarsanız, arama motoru URL'yi kapmaz, siyah şapka SEO ilgilenmez. Sorun Google örümceğinin enjekte edilen betiğin URL'sini tarayabilmesi veya JS'yi çalıştırabilmesidir, böylece enjekte edilen bağlantıyı görebilirsiniz.

XSS saldırılarını önlemek için ilki, sunucu tarafında güvenlik filtrelemesi yapmaktır, en temel olanı HTML'den kaçmaktır. Yürütülecek komut dosyası yerine <script> alert ('XSS') </script> 'i düşünün. . İkincisi, tarayıcı tarafındaki XSS tanıma özelliğidir. Çoğu tarayıcı (Chrome gibi), artık URL’deki komut dosyası gibi şüpheli karakterler görmektedir ve sayfayı açmayı doğrudan reddedecektir.

Google Spider, Google’ın kendi Chrome tarayıcısı gibi XSS saldırılarını tanırsa, enjeksiyon komut dosyası içeren URL’ler hiç gezinmez ve hiçbir şey yoktur. Ancak Google’ın resmi belgelerine göre, Google örümcekleri Chrome 41’in eski sürümünü kullanıyor ve Chrome 41’in XSS tanıma özelliği yok. Bu nedenle, XSS program açığı olan bir web sitesi Google örümcek tarafından enjekte edilen bağlantının URL’sine taranabilir.

Tom deneyi yaptı. Yeni bir banka (Revolut) web sitesinde XSS güvenlik açığı var (Tanrım, banka web sitesinde XSS güvenlik açığı var. Ama şimdi eklendi), Tom Revolut etki alanında bir enjeksiyon komut dosyası içeren bir URL oluşturdu ve tarayıcı yürütmeden sonra sayfada olacak. En üste bir link yerleştirin. Google Örümcek bu URL’yi nasıl ele alıyor? Tom, Google’ı sayfa dostu kullanıcı dostu test aracıyla doğruladı, çünkü araç sayfayı Google Örümcek’le aynı şekilde oluşturuyor. Sonuç şudur:

Açıkçası, Google URL’yi tarayabilir ve enjekte edilen betiği çalıştırabilir ve oluşturulan sayfa en üstte enjekte edilmiş bağlantıya sahiptir. Bu, bankanın alan adından harici bir link.

Daha doğrulamak için, Tom deneme URL’sini Google’a sundu. Sonuçlar Google’ın URL’yi dizine eklediğini ve anlık görüntüde JS komut dosyası yoluyla enjekte edilen bağlantının sayfada göründüğünü gösterdi:

Tom ayrıca, XSS enjeksiyonuyla HTML'de kanonik etiketler gibi oldukça tehlikeli olan etiketler ekleyip değiştirebileceğinizi de buldu . Ancak, bu XSS sonrası enjeksiyon bağlantısı ile bu ilişki büyük değil, bu yüzden ayrıntılı olmayacağım.

XSS saldırısı tarafından enjekte edilen bağlantı etkili mi?
Sadece indeksleme sorunu mutlaka belirtmez, bazı spam linkleri gibi Google tarafından göz ardı edilirse, link etkisi yoktur ve harici linkleri değiştirmek için kullanılamaz. Tom, bu URL’deki bağlantıların bir bağlantı etkisinin olduğunu doğrulamak için, daha fazla deneme yaptı.

Tom, Revolut etki alanının URL’sine bir bağlantı enjekte eder, daha önce deneme sitesinde oluşturulmamış, yeni oluşturulmuş bir sayfaya işaret eder ve Revolut URL’sini gönderir. Kısa bir süre sonra Google, Tom’un kendi deney sitesinde ve dizininde yeni sayfayı taradı. Bu sayfa arama sonuçlarında görünür:

Bu, enjekte edilen bağlantının en azından örümceklerin çekilmesinde rol oynayabileceğini göstermektedir. Kilo akışı ve sıralama üzerinde benzer bir etkisi var mı? Tom, daha fazla deneme yapmadan normal arama sonuçları üzerindeki olası etkiden endişe duyuyordu.

Burada birçok yabancı SEO’nun çok duygusal olduğunu söylemeliyim. Bence, yerli SEO’lar bu güvenlik açığı seviyesini bulursa, boşlukları doldurmak için arama motoruna rapor verecek mi? Muhtemelen bu güvenlik açığını kendi kullanımınız için kullanacak, ölümüne kullanacaksınız.

Arama sonuçları üzerindeki potansiyel etki nedir?
Bu şekilde enjekte edilen bağlantı normal bağlantının etkisine sahipse ve siyah şapka SEO tarafından kullanıldığı sürece ağırlıklar ve sıralama için etkiliyse, ağırlığı ve sıralamayı kontrol etmek ve arama sonuçlarına ne kadar potansiyel etki getireceği açıktır?

Https://www.openbugbounty.org/ web sitesi, 260 siteye, en çok 500 siteye bağlantı veren en fazla 500 link de dahil olmak üzere, 971 .edu etki alanı dahil olmak üzere 260.gov devlet sitesi de dahil olmak üzere 125.000'den fazla siteyi listeler. 195 hayal edin, potansiyel etkinin ne kadar büyük olacağını hayal edin.

Elbette, Google, savunma mekanizmalarının bu siyah şapka yöntemini tanımlayabilmesi gerektiğinden emin, Google’ın dahili araştırmasının bu yöntemin kullanılmadığını gösterdiğinden şüpheleniyorum. Ancak bu Tom'un şimdi bilgi vermesinden önce mi? Birçok insanın zaten bu yöntemin etkinliğini denediğini tahmin ediyorum. Bu yazıyı gönderdim ve kesinlikle Çin'de SEO olacak. Peki, Google’ın önleme mekanizması büyük ölçüde kötüye kullanıldığı takdirde etkili olacak mı?

Öte yandan, Tom’un gönderisinin gönderileceği kesin ve Google’ı bu güvenlik açığını gidermek için etkin önlemler almaya zorlayacak, XSS saldırılarının bağlantılarını enjekte etmesine izin veren etkili bir SEO hile yöntemi değil. Denemek istiyorsanız, en kısa zamanda, işe yaramaz olacak.

8 Mayıs’ta yapılan güncelleme: Google, Google Örümcek’in Chrome motorunun en son sürümünü kullanacağını, şu anki sürümün 74 olduğunu ve en son sürümü kullanmaya devam edeceğini açıklayan Google’ın G / Ç Geliştirme Konferansı’nın 7’inde ilan ettiğini açıkladı. Öyle görünüyor ki Google çoktan hazırlandı, çok kendinden emin.

 

İlgili mesajlar