Siteler arası betik çalıştırma, saldırganın bir web sayfasına kötü niyetli betik enjekte ederek kurbanın tarayıcısında çalıştırmasına dayanan bir zafiyettir. Uygulama, kullanıcı girdisini güvenli biçimde işlemeden sayfaya yansıttığında, bu girdi tarayıcı tarafından kod olarak yorumlanabilir. Saldırgan bu davranışı kullanarak, kurbanın oturumunda kendi betiğini çalıştırabilir. Bu betik, oturum bilgilerini çalabilir, kullanıcı adına işlem yapabilir ya da sayfayı değiştirebilir. Zafiyet, web uygulamalarının en yaygın ve en çok yönlü sorunlarından biridir.

Saldırının hedefi, sunucudan çok kullanıcının tarayıcısıdır ve bu onu diğer enjeksiyon türlerinden ayırır. Sunucu tarafı enjeksiyonlar veri tabanını ya da sistemi hedef alırken, bu saldırı doğrudan son kullanıcıyı hedefler. Bu nedenle etkisi, kullanıcı güveninin ve oturum güvenliğinin ihlaline odaklanır. Bir kez çalışan betik, kullanıcının tarayıcısında uygulamanın kendisi kadar yetkiye sahip olur. Bu yetki, saldırgana geniş bir kötüye kullanım alanı açar.

XSS Nedir?

XSS, kullanıcı girdisinin güvensiz biçimde sayfaya yansıtılmasıyla saldırganın kurbanın tarayıcısında kötü niyetli betik çalıştırmasına dayanan bir web zafiyetidir.

Zafiyetin kökeni, veri ile kodun tarayıcıda birbirine karışmasıdır. Tarayıcı, bir sayfanın içeriğini işlerken metni ve betiği farklı biçimde ele alır. Kullanıcı girdisi güvenli biçimde işlenmeden sayfaya eklendiğinde, tarayıcı bu girdiyi betik olarak yorumlayabilir. Bu nedenle savunmanın temeli, girdinin her zaman veri olarak işlenmesini sağlamaktır. Bu ayrım sağlandığında, girdi ne içerirse içersin yalnızca görüntülenir, çalıştırılmaz.

XSS Türleri

İlk tür, yansıyan betik çalıştırmadır. Bu türde, saldırganın girdisi bir istek içinde sunucuya gider ve yanıtta doğrudan geri yansıtılır. Kurban, saldırganın hazırladığı bir bağlantıya tıkladığında betik çalışır. Bu tür, çoğunlukla kurbanı kandırarak bir bağlantıya tıklatmayı gerektirir. Etkisi anlıktır ve genellikle tek bir kurbanı hedefler.

İkinci tür, saklanan betik çalıştırmadır ve daha tehlikelidir. Bu türde saldırganın girdisi sunucuda kalıcı olarak saklanır ve sayfayı ziyaret eden herkese sunulur. Örneğin bir yorum alanına eklenen betik, o sayfayı gören tüm kullanıcılarda çalışır. Bu nedenle tek bir enjeksiyon, çok sayıda kurbanı etkileyebilir. Kalıcılığı ve geniş etkisi, bu türü en yüksek öncelikli hâle getirir.

Üçüncü tür, belge nesne modeli tabanlı betik çalıştırmadır. Bu türde zafiyet, sunucudan çok istemci tarafı kodda ortaya çıkar. Belge nesne modeli tabanlı betik çalıştırma, tarayıcıda çalışan betiğin girdiyi güvensiz işlemesinden doğar. Sunucu yanıtı değişmese bile saldırı gerçekleşebilir. Bu tür, istemci tarafı kodun karmaşıklaşmasıyla giderek daha önemli hâle gelmiştir.

• Yansıyan tür: girdi yanıtta anında geri yansıtılır
• Saklanan tür: girdi sunucuda kalıcı saklanır ve herkese sunulur
• Belge nesne modeli tabanlı tür: istemci tarafı kodda ortaya çıkar
• Her tür, girdinin güvensiz işlenmesinden kaynaklanır

Etkileri

En yaygın etki, oturum bilgilerinin çalınmasıdır. Çalışan betik, kullanıcının oturum belirtecine erişerek onu saldırgana gönderebilir. Oturum çalma bu yolla gerçekleştirilerek saldırgan, kurbanın kimliğine bürünür. Böylece saldırgan, kurbanın tüm yetkileriyle işlem yapabilir. Bu etki, tek bir betiğin ciddi bir hesap ele geçirmeye dönüşebileceğini gösterir.

İkinci etki, kullanıcı adına yetkisiz işlem yapmaktır. Betik, kullanıcının oturumunu kullanarak arka planda istekler gönderebilir. Bu istekler, kullanıcının haberi olmadan ayar değiştirme ya da işlem yapma sonucunu doğurabilir. Böylece saldırı, veri hırsızlığının ötesine geçerek eylem gerçekleştirme boyutuna ulaşır. Bu geniş yetenek, zafiyetin ciddiyetini artırır.

Üçüncü etki, sayfa içeriğinin değiştirilmesidir. Betik, sayfayı yeniden şekillendirerek kullanıcıyı kandıran sahte alanlar ekleyebilir. Örneğin sahte bir giriş formu göstererek kullanıcının kimlik bilgilerini toplayabilir. Bu yöntem, kimlik avını uygulamanın kendi içine taşır. Kullanıcı meşru siteyi gördüğünü sandığı için bu saldırı özellikle etkilidir.

Nasıl Önlenir?

En temel önlem, çıktı kodlamadır. Kullanıcı girdisi sayfaya yansıtılmadan önce, bulunduğu bağlama uygun biçimde kodlanmalıdır. Bu kodlama, özel karakterlerin betik olarak değil metin olarak görüntülenmesini sağlar. Çıktı kodlama bu savunmanın temelidir. Doğru uygulandığında, girdi ne içerirse içersin tarayıcı tarafından kod olarak yorumlanmaz.

İkinci önlem, içerik güvenlik politikasının uygulanmasıdır. Bu mekanizma, tarayıcıya hangi kaynaklardan betik çalıştırabileceğini bildirir. İçerik güvenlik politikası, bir betik enjekte edilse bile çalışmasını engelleyebilir. Böylece kodlama hatası olsa dahi ikinci bir savunma katmanı devreye girer. Bu mekanizma, derinlemesine savunmanın önemli bir parçasıdır.

Üçüncü önlem, oturum belirteçlerinin betikten erişilemez kılınmasıdır. Oturum çerezleri, betiklerin erişemeyeceği biçimde işaretlenebilir. Bu işaret, bir betik çalışsa bile oturum belirtecini çalmasını engeller. Çerez hırsızlığı bu önlemle önemli ölçüde zorlaşır. Böylece saldırının en yaygın ve en zararlı sonucu sınırlanmış olur.

Dördüncü önlem, girdi doğrulamadır. Beklenen biçimin dışındaki girdiler, işleme alınmadan reddedilmelidir. Bu doğrulama, saldırının bazı biçimlerini daha başlamadan durdurur. Ancak tek başına yeterli değildir ve çıktı kodlamayla birlikte kullanılmalıdır. İki katmanın birleşimi, savunmayı çok daha güçlü hâle getirir.

• Bağlama uygun çıktı kodlama
• İçerik güvenlik politikasının uygulanması
• Oturum çerezlerinin betikten erişilemez kılınması
• Girdi doğrulama ve beklenen biçim denetimi
• Güvenli çerçeveler ve otomatik kaçış mekanizmalarının kullanımı

Modern Çerçevelerin Rolü

Modern web geliştirme çerçeveleri, bu zafiyete karşı önemli koruma sağlar. Birçok çerçeve, girdiyi varsayılan olarak güvenli biçimde işleyerek otomatik kaçış uygular. Bu davranış, geliştiricinin her seferinde manuel kodlama yapma yükünü azaltır. Ancak bu koruma, yalnızca çerçeve doğru kullanıldığında geçerlidir. Güvenli varsayılanların atlatıldığı durumlar, zafiyeti yeniden ortaya çıkarabilir.

Çerçevelerin sunduğu tehlikeli kaçış yolları özel dikkat gerektirir. Bazı işlevler, içeriği ham biçimde eklemeye izin vererek otomatik korumayı devre dışı bırakır. Geliştiriciler bu işlevleri yalnızca gerçekten gerekli olduğunda ve büyük dikkatle kullanmalıdır. Bu tür kullanım noktaları, kod incelemesinde özellikle işaretlenmelidir. Güvenli varsayılanın bilinçli biçimde atlatıldığı her nokta, potansiyel bir zafiyettir.

Test ve Doğrulama

Zafiyetin tespiti, hem otomatik hem manuel testleri gerektirir. Otomatik tarayıcılar, yaygın enjeksiyon noktalarını hızla işaretler. Ancak istemci tarafı koddaki karmaşık durumlar, çoğunlukla manuel analiz gerektirir. Web uygulama sızma testi bu iki yaklaşımı birleştirir. Böylece hem yansıyan hem saklanan hem de istemci tarafı türler kapsamlı biçimde değerlendirilir.

Kod incelemesi de tespitte önemli bir rol oynar. Kullanıcı girdisinin sayfaya yansıtıldığı tüm noktalar, güvenli kodlama açısından denetlenmelidir. Güvenli kod gözden geçirme bu noktaları sistematik biçimde ele alır. Özellikle otomatik korumanın atlatıldığı kullanımlar dikkatle incelenmelidir. Kodda yakalanan bir zafiyet, üretime ulaşmadan giderilerek riski düşürür.

Kalıcı Çözüm Yaklaşımı

Kalıcı çözüm, tekil düzeltmeler yerine sistematik bir savunma tasarımıdır. Her giriş noktasında ayrı ayrı önlem almak yerine, güvenli kodlama çerçeve düzeyinde standartlaştırılmalıdır. Böylece geliştiriciler, güvenli yolu varsayılan olarak kullanır. Bu yaklaşım, insan hatasına bağlı zafiyetleri büyük ölçüde azaltır. Sistematik bir tasarım, zafiyetin farklı biçimlerde tekrar ortaya çıkmasını önler.

Bu sistematik yaklaşım, eğitim ve süreçle desteklenmelidir. Geliştiriciler, bu zafiyetin türlerini ve savunma yöntemlerini iyi anlamalıdır. Güvenli kodlama standartları belgelenmeli ve gözden geçirme süreçlerine gömülmelidir. Böylece güvenlik, tekil çabalar yerine kurumsal bir alışkanlığa dönüşür. Bu bütünsel yaklaşım, savunmanın zamanla zayıflamasını önler.

Bağlama Duyarlı Kodlama

Çıktı kodlamanın etkili olması için, girdinin yansıtıldığı bağlama uygun yapılması gerekir. Aynı girdi, bir metin alanında, bir öznitelik içinde ya da bir betik bloğunda farklı biçimde yorumlanır. Her bağlam, kendine özgü kaçış kurallarını gerektirir ve yanlış bağlam için yapılan kodlama koruma sağlamaz. Bu nedenle geliştirici, girdinin nereye yerleştiğini bilerek doğru kodlamayı uygulamalıdır. Bağlama duyarlı kodlama, savunmanın en kritik ayrıntılarından biridir.

Özellikle betik ve adres bağlamları, en tehlikeli yansıtma noktalarıdır. Bir girdinin doğrudan bir betik bloğuna ya da bir bağlantı adresine yerleştirilmesi, en ağır sonuçları doğurabilir. Bu bağlamlarda basit metin kodlaması yetersiz kalır ve ek önlemler gerekir. Mümkün olduğunda, kullanıcı girdisinin bu tür bağlamlara hiç yerleştirilmemesi tercih edilir. Bu tasarım kararı, en riskli yansıtma noktalarını baştan ortadan kaldırır.

Yaygın Yanlış İnanışlar

Sık karşılaşılan bir yanlış inanış, girdi doğrulamanın tek başına yeterli olduğudur. Doğrulama saldırının bazı biçimlerini engellese de, tüm bağlamlar için tam koruma sağlamaz. Asıl savunma, çıktının bağlama uygun kodlanmasıdır ve doğrulama bunu tamamlar. İki katmanın karıştırılması, eksik bir savunmaya yol açabilir. Bu nedenle her iki önlem de ayrı ayrı ve birlikte uygulanmalıdır.

Bir diğer yanlış inanış, yalnızca metin alanlarının risk taşıdığıdır. Gerçekte, adres bilgisi, başlık alanları ve dosya adları gibi birçok kaynak da güvensiz girdi taşıyabilir. Kullanıcının etkileyebildiği her veri, potansiyel bir saldırı vektörü olarak değerlendirilmelidir. Bu geniş bakış, gözden kaçan giriş noktalarını görünür kılar. Yalnızca bariz alanlara odaklanmak, gizli zafiyetlerin gözden kaçmasına yol açar.

Kullanıcı Güveni ve İtibar

Bu zafiyetin sonuçları, teknik etkilerin ötesine geçerek kullanıcı güvenini de zedeler. Bir kullanıcının hesabının bu yolla ele geçirilmesi, uygulamaya duyulan güveni doğrudan sarsar. Ayrıca saldırı, uygulamanın kendi sayfalarında gerçekleştiği için sorumluluk uygulamaya atfedilir. Bu itibar etkisi, teknik zararın çok ötesine geçebilir. Bu nedenle bu zafiyet, yalnızca güvenlik değil aynı zamanda bir güven meselesi olarak ele alınmalıdır.

İtibarın korunması, hızlı ve şeffaf yanıt gerektirir. Bir zafiyet tespit edildiğinde, hızla giderilmesi ve etkilenen kullanıcıların bilgilendirilmesi güveni onarmaya yardımcı olur. Ayrıca proaktif güvenlik testleri, sorunların kullanıcılara ulaşmadan yakalanmasını sağlar. Bu önleyici yaklaşım, hem teknik hem de itibar riskini azaltır. Sürekli güvenlik değerlendirmesi, kullanıcı güveninin korunmasına doğrudan katkı sağlar.

Privia Security olarak web uygulamalarında betik çalıştırma zafiyetlerinin tespitini ve giderilmesini düzenli zafiyet tarama ve sızma testi kapsamında değerlendiriyoruz.