Technical Tutorials

OWASP Top Ten'deki en eski açıklardan biri olmasına rağmen, Çapraz Site Komut Dosyası (XSS) modern web uygulamaları için kalıcı bir tehdit vektörü olmaya devam ediyor. Orta ve ileri düzey geliştiriciler için temel bilgilerin ötesine geçmek kritik öneme sahiptir. Sadece girişi nasıl temizleyeceğimizi değil, saldırgan yüzeyini etkili bir şekilde minimize etmek için uygulamalarımızı nasıl mimarileştireceğimizi de anlamalıyız. Bu yazı, hem istemci hem de sunucu taraflı ortamlarda XSS risklerini azaltmak için ileri düzey stratejileri incelemektedir.

Tehdit Manzarasını Anlamak

XSS, bir uygulama güvenilir olmayan veriyi uygun doğrulama veya kaçış karakteri eklemeden bir web sayfasına eklediğinde oluşur. Üç temel türü vardır:

Depolanan XSS: Kötü amaçlı komut dosyaları hedef sunucuda kalıcı olarak saklanır (örneğin, bir veritabanında). Kullanıcılar veriyi çağırdığında komut dosyası çalıştırılır.
Yansıtılan XSS: Kötü amaçlı komut dosyası, bir hata mesajı veya arama sonucu gibi bir web sunucusundan yansıtılır.
DOM-tabanlı XSS: Açık, sunucu taraflı işlemden ziyade istemci taraflı kodda bulunur. Tarayıcı, DOM'u değiştiren kullanıcı girdisine dayanarak komut dosyasını çalıştırır.

Bu ayrımı anlamak hayati önem taşır, çünkü azaltma stratejileri sunucu tarafından işlenen HTML ile dinamik istemci taraflı çerçeveler arasında önemli ölçüde farklılık gösterir.

Sunucu Taraflı Azaltma: Bağlam Bilinli Kodlama

XSS önlemenin altın kuralı, kullanıcı girdisine asla güvenmemektir. Ancak "kaçış karakteri ekleme" (escaping) tek bir çözüm değildir. Kodlama yöntemi, verinin işlendiği bağlamla eşleşmelidir. Örneğin, HTML varlık kodlaması metin düğümleri için güvenlidir ancak JavaScript bağlamlarında etkili değildir.

Kullanıcı girdisinin doğrudan HTML içine yerleştirildiği aşağıdaki hassas Node.js Express örneğini ele alalım:

// Hassas Kod
app.get('/', (req, res) => {
    const userInput = req.query.name;
    res.send(``);
});

Bunu düzeltmek için bağlam bilinli bir kodlayıcı kullanmalıyız. JavaScript'te DOMPurify gibi kütüphaneler veya çerçeve özgü temizleyiciler gereklidir. HTML bağlamları için varlıkları kodlarız. JavaScript bağlamları için ise kontrol karakterlerini kaçış karakteri ile yazarız.

// Hipotetik bir kodlayıcı kullanarak güvenli kod
import { encodeForHTML, encodeForJS } from 'security-utils';

app.get('/', (req, res) => {
    const userInput = req.query.name;
    // HTML bağlamı için kodla
    const safeUserInput = encodeForHTML(userInput);
    res.send(``);
});

İstemci Taraflı Güvenlik: Çerçeve Korumaları

React, Angular ve Vue.js gibi modern ön uç çerçeveleri, XSS'ye karşı yerleşik korumalar sağlar. Varsayılan olarak React, JSX içeriğini render etmeden önce kaçış karakteri ekler, böylece dangerouslySetInnerHTML aracılığıyla açıkça amaçlanmadıkça ham HTML enjekte edilmez.

Bununla birlikte, geliştiriciler bu korumaları sıklıkla atlar. Örneğin, saf JavaScript'te innerHTML kullanmak veya Angular'da uygun temizleme yapılmadan [innerHTML] kullanmak açıklıkları yeniden getirebilir. Her zaman textContent gibi özelliklere bağlanmayı veya çerçevenin güvenli bağlama mekanizmalarını kullanmayı tercih edin.

İçerik Güvenlik Politikası (CSP)

Giriş doğrulaması ve çıktı kodlaması kritik olsa da, kusursuz değildir. Bir İçerik Güvenlik Politikası (CSP), kritik bir savunma katmanı olarak hareket eder. Tarayıcıya yalnızca güvenilir alanlardan komut dosyalarının çalıştırılmasını emrederken, bir XSS açığından kaçsa bile bir XSS açığının etkisini azaltabilirsiniz.

Sıkı bir CSP başlığı şöyle görünebilir:

Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com; style-src 'self' 'unsafe-inline';

'unsafe-inline' bazen stillendirme için gerekli olsa da, güvenliği önemli ölçüde zayıflatır. Mümkün olduğunda, tüm satır içi komut dosyalarını etkinleştirmeden belirli satır içi komut dosyalarına izin vermek için noncelar veya karma değerler kullanın.

Sonuç

XSS'yi önlemek derinlemesine bir savunma yaklaşımı gerektirir. Tek bir araca veya kütüphaneye güvenmek yeterli değildir. Geliştiriciler, bağlam bilinli çıktı kodlaması, sağlam giriş doğrulaması, çerçeve yerleşik güvenlik özellikleri ve sıkı İçerik Güvenlik Politikalarını birleştirmelidir. Verinin uygulamanızdan nasıl aktığını anlamak ve bu en iyi uygulamalara uymak, çapraz site komut dosyası riskini önemli ölçüde azaltabilir ve kullanıcılarınızı kötü amaçlı istismarlardan koruyabilir.