حملات XSS چیست؟ یکی از تهدیدهای سایبری به وبسایت‌ها یا اپلیکیشن‌ها، حملات XSS می‌باشد. XSS خلاصه عبارت Cross-Site Scripting است به معنای اسکریپت‌نویسی متقابل.

در دنیای امروز برنامه‌های کاربردی تحت وب بسیار محبوب هستند. از آنجا که تقریبا تمامی کاربران به شبکه اینترنت متصل هستند و به وب دسترسی دارند، پیدا کردن مشتری و کاربر برای اپلیکیشن‌ها در وب، بسیار آسان‌تر است.

طبق آمار منتشر شده در BroadbandSearch در سال 2021 تقریبا 4.93 میلیارد نفر در سراسر جهان به اینترنت متصل هستند که این عدد 63.2% از جمعیت کل را تشکیل می‌دهد. آمار فوق مهر تایید محکمی بر اهمیت توسعه برنامه‌های تحت وب در صنعت فناوری اطلاعات و ارتباطات می‌باشد.

از سوی دیگر این تکنولوژی محبوب، توجه عناصر مخرب فراوانی را نیز به خود جلب می‌کند. حملات امنیتی برنامه‌های تحت وب مکرراٌ تکرار می‌شوند. حملات تحت وب بالغ بر 128 گروه اصلی می‌باشند، که هر گروه به چندین زیرگروه دسته‌بندی می‌گردند.

جالب است بدانید که این عناصر مخرب از دو طریق موجب اخلال در روند سرویس‌دهی و خدمت‌رسانی می‌گردند؛ در شیوه اول با آسیب رساندن به وب سایت پذیرنده، موجبات اختلال را فراهم می‌آورند و در شیوه دوم کاربرانِ برنامه‌های تحت وب را مورد هدف قرار می‌دهند.

در این مقاله به جزییات حملات XSS که از طریق تزریق کد (code injection) عمل می‌کند، می‌پردازیم و به سوالات زیر پاسخ می‌دهیم:

هدف از XSS Attacks چیست؟

انواع مختلف XSS Attacks کدام است؟

چگونه می‌توان از سایت‌ها و اپلیکیشن‌ها در مقابل XSS Attacks جلوگیری کرد؟

حمله XSS چیست؟

حمله اسکریپت‌نویسی متقابل (XSS) یک نوع رایج از حمله تزریق کد (code injection) است که برنامه‌های تحت وب را با تشخیص آسیب‌پذیری آن‌ها و تزریق کد مخرب، هدف قرار می‌دهد.

در این حمله، برنامه‌های تحت وب تحت تأثیر مستقیم قرار نمی‌گیرند و در عوض، کاربرانی که با چنین سایت‌ها یا برنامه‌هایی ارتباط برقرار می‌کنند، هدف بالقوه هستند.

حملات XSS زمانی رخ می‌دهد که یک هکر با استفاده از سبکِ اسکریپت سمت مرورگر‌، یک کد مخرب را از طریق یک برنامه تحت وب برای قربانی ارسال می‌کند. مهاجمان از آسیب پذیری برنامه‌های تحت وب، که باعث ایجاد حمله موفق می‌شوند، استفاده می‌کنند.

در اینجا توجه شما را به یک مثال جلب می‌نمایم؛

تصور کنید فردی پشت کامپیوتر نشسته است. صفحه نمایش یک File manager ، Text editor ، Spreadsheet و Music player را در گوشه سمت راست پایین نشان می‌دهد.

تا اینجا همه چیز عادی و آشنا است. اما چیزی هست که در این تصویر دیده نمی‌شود، یک مرورگر اینترنت با ده‌ها Tab که به طور همزمان باز شده‌اند!!!

این Tabها پر از عناوین جالب، فیلم‌های خنده دار‌، تبلیغات کالاهای ورزشی‌، فروشگاه‌های آنلاین و یک سایت پرداخت با رسید پرداخت شده برای یک بلیط سریع هستند. همه این سایت‌ها یک ویژگی مشترک دارند: بدون جاوا اسکریپت به سختی امکان پذیر خواهند بود.

سپس یک کلیک ساده روی بنر تبلیغاتی صفحه دیگری را فعال می‌کند. این صفحه حاوی اسکریپتی است که به یک سایت بانکی آنلاین متصل می‌شود و بی سر و صدا پول را از حساب کاربر به کارت مهاجم منتقل می‌کند.

خوشبختانه امروزه مرورگرها به لطف SOP (Same-Origin Policy) این امکان را حذف می‌کنند. SOP تضمین می‌کند که اسکریپت‌های اجرا شده در یک صفحه وب به داده‌های اشتباه دسترسی ندارند.

اگر اسکریپت‌ها از دامنه دیگری بارگیری شده باشند، مرورگر نمی‌تواند آنها را اجرا کند. اما آیا داستان همینجا به پایان می‌رسد؟!

اگر چنین بود که دیگر این مقاله وجود نداشت. مجرمان سایبری از روش‌های مختلفی برای دور زدن SOP و سوء استفاده از آسیب پذیری‌های برنامه استفاده می‌کنند و در صورت موفقیت، باعث می‌شوند مرورگر کاربر، یک اسکریپت دلخواه را در یک صفحه مشخص اجرا کند.

پایه ریزی یک حمله برای آلوده کردن یک وب‌سایت به چه طریق انجام می‌شود؟

قرار است SOP به اسکریپت‌ها تنها زمانی اجازه دهد، که بارگیری اسکریپت از همان دامنه صفحه ای که کاربر در حال مشاهده آن است باشد و در حقیقت، مهاجمان دسترسی مستقیم به سرورِ مسئول صفحه ی نمایش داده شده توسط مرورگر، ندارند.

مهاجمان چگونه این کار را انجام می‌دهند؟ آسیب پذیری‌های برنامه می‌تواند با استفاده از درج قطعات و کدهای مخرب در محتوای صفحه به مهاجمان کمک کند.

به عنوان مثال ، یک موتور جستجوی معمولی هنگام نمایش نتایج جستجو، درخواست کاربر را تکرار می‌کند. اگر کاربر سعی کند رشته “

” را پیدا کند، آیا محتویات صفحه نتایج جستجو منجر به اجرای این اسکریپت می‌شود و آیا کادر محاوره‌ای با پیام “1” ظاهر می‌شود؟

این بستگی به این دارد که توسعه دهندگان برنامه وب چگونه ورودی کاربر را تأیید کرده و آن‌ را به یک قالب امن تبدیل کنند.

مشکل اصلی در این است که کاربران طیف گسترده‌ای از نسخه‌های مرورگر را اجرا می‌کنند، از آخرین پیش آلفا تا نسخه‌هایی که دیگر پشتیبانی نمی‌شوند. هر مرورگر صفحات وب را به شیوه ای متفاوت مدیریت می‌کند.

در برخی موارد، حملات XSS می‌تواند زمانی موفقیت آمیز باشد که ورودی‌ها به اندازه کافی فیلتر نشده باشند. بنابراین اولین قدم در حمله اسکریپت‌نویسی متقابل (XSS) تعیین نحوه جاسازی داده‌های کاربر در یک صفحه وب است.

حملات اسکریپت نویسی متقابل (XSS) - ستاک فناوری ویرا

پایه ریزی یک حمله XSS برای آلوده کردن یک وب‌سایت

انواع حمله XSS

حملات اسکریپت‌نویسی متقابل (XSS) بر سه نوع هستند:

1-XSS ذخیره شده

XSS ذخیره شده مخرب‌ترین آسیب پذیری است. این حمله زمانی رخ می‌دهد که بار اطلاعات مخرب ارائه شده توسط مهاجم در سرور ذخیره شود. این محموله دائماً در معرض صفحه وب قرار می‌گیرد و هنگامی که کاربر عملیات مرور معمولی را انجام می‌دهد فعال می‌شود.

2- XSS منعکس شده

این آسیب پذیری متداول اسکریپت نویسی زمانی ایجاد می‌شود که داده‌های ارائه شده توسط کاربران‌، معمولاً از طریق پارامترهای درخواست HTTP (به عنوان مثال؛ ارسال فرم) در صفحه بدون فیلتر یا ذخیره مناسب، نمایش داده شود.

3- XSS بر اساس DOM (Document Object Model)

حملات XSS بر اساس DOM یک نوع آسیب‌پذیری اسکریپت‌نویسی بین سایت‌ها است که هنگامی رخ می‌دهد که جاوا اسکریپت داده‌ها را از منبع کنترل شده مهاجم دریافت کرده و برای اصلاح محیط DOM ارسال می‌کند. این باعث می‌شود مرورگر قربانی به طور غیر منتظره اجرا شود.

پیشگیری از حملات XSS

برنامه‌های کاربردی از نظر پیچیدگی اسکریپت‌نویسی متقابل می‌توانند چالش برانگیز باشند. بنابراین، ایمن‌سازی آن‌ها در برابر حملات اسکریپت‌نویسی متقابل (XSS) دشوار است. اما با اقدامات پیشگیرانه مناسب، می‌توانید برنامه وب خود را از این حملات محافظت کنید.

– باید ورودی دریافت شده از سمت کاربر را فیلتر کنید.

– در خروجی، داده‌های خروجی را کدگذاری کنید تا با پیاده‌سازی ترکیبی از کدگذاری HTML ، URL ، جاوا اسکریپت و CSS ، آن‌ها را از فعالیت بازدارید.

– با استفاده از ابزارهای اسکنر آسیب پذیری وب‌، می‌توانید برنامه وب خود را برای آسیب‌پذیری‌های احتمالی XSS اسکن کنید.

– پیاده‌سازی header مناسب و مسدود کردن XSS در پاسخ‌های HTTP که انتظار نمی‌رود شامل HTML یا JavaScript باشد و مطمئن شوید که مرورگرها پاسخ مورد نظر را اجرا می‌کنند.

– همچنین می‌توانید سیاست امنیت محتوا (CSP: Content Security Policy) را برای مهار تأثیر مخرب هر گونه آسیب‌پذیری دیگر XSS پیاده‌سازی کنید.

منبع

https://www.setakit.com/

توزیع ترافیک در پروژه های ASP.NET Core

تصور کنید یک صبح کاری شلوغ است. کاربران از تهران تبریز مشهد و اصفهان همزمان وارد سایت شما می شوند. همه چیز عالی پیش می رود تا این که ناگهان سایت کند می شود. بعضی درخواست ها timeout می شوند و تیم پشتیبانی شروع به دریافت تماس های نگران کننده می کند. اینجاست که سوال اصلی مطرح می شود آیا زیرساخت شما برای این حجم ترافیک آماده بوده است یا نه

من در این مقاله دقیقاً مثل یک مشاور فنی کنار شما می نشینم و تجربه بیش از دو دهه کار عملی در شرکت برنامه نویسان دانش برتر سهند را با شما به اشتراک می گذارم. هدف فقط توضیح تئوری نیست. می خواهیم بفهمیم مشکل کجاست چرا رخ می دهد و چطور با استفاده از asp.net core آن را به شکلی اصولی حل کنیم.

توزیع ترافیک چیست و چرا اهمیت دارد

توزیع ترافیک یعنی مدیریت هوشمند درخواست های کاربران بین چند سرور یا چند نمونه از یک برنامه. به جای این که همه کاربران به یک سرور واحد متصل شوند بار کاری بین چند منبع تقسیم می شود.

در پروژه های asp.net core این موضوع اهمیت دوچندان دارد چون این فریم ورک اغلب برای سیستم های سازمانی فروشگاه های بزرگ و سامانه های پرترافیک استفاده می شود.

• افزایش سرعت پاسخ دهی به کاربران
• کاهش احتمال down شدن کل سیستم
• امکان رشد تدریجی بدون بازنویسی کل پروژه
• تجربه کاربری بهتر برای مخاطبان در شهرهای مختلف ایران

مشکل واقعی کسب و کارها در ایران

بسیاری از کسب و کارهای ایرانی مخصوصا در تهران و تبریز پروژه asp.net core خود را به صورت تک سروره راه اندازی می کنند. در ابتدا همه چیز خوب است اما با رشد ترافیک مشکلات زیر ظاهر می شود

1. کندی شدید در ساعات اوج مصرف
2. قطعی کامل سایت هنگام بروزرسانی یا ریست سرور
3. ناتوانی در پاسخگویی همزمان به درخواست های زیاد
4. افزایش نارضایتی کاربران و افت فروش

اینجا دقیقا جایی است که توزیع ترافیک از یک گزینه لوکس به یک ضرورت حیاتی تبدیل می شود.

معماری پایه توزیع ترافیک در ASP.NET Core

اجازه دهید خیلی ساده معماری پایه را توضیح بدهم. شما چند نمونه از برنامه asp.net core خود را اجرا می کنید. جلوی آن ها یک لایه قرار می گیرد که به آن load balancer می گویند. این لایه درخواست کاربران را دریافت کرده و بین سرورها پخش می کند.

اجزای اصلی این معماری

• Client یا همان مرورگر کاربر
• Load Balancer نرم افزاری یا سخت افزاری
• چند Instance از برنامه asp.net core
• دیتابیس مرکزی یا توزیع شده

نکته مهم این است که asp.net core ذاتا برای چنین معماری هایی طراحی شده و کاملا با آن سازگار است.

روش های توزیع ترافیک در پروژه های ASP.NET Core

استفاده از Load Balancer نرم افزاری

رایج ترین و مقرون به صرفه ترین روش برای شروع استفاده از load balancer نرم افزاری است. در ایران معمولا از nginx یا haproxy استفاده می شود.

این روش برای بسیاری از پروژه های شرکتی که توسط شرکت برنامه نویسان دانش برتر سهند پیاده سازی شده کاملا جواب داده و هزینه ها را کنترل کرده است.

استفاده از Reverse Proxy

reverse proxy علاوه بر توزیع بار می تواند وظایف امنیتی کش و فشرده سازی را هم انجام دهد. این یعنی سرعت بالاتر و مصرف منابع کمتر.

مقیاس پذیری افقی در asp.net core

مقیاس پذیری افقی یعنی اضافه کردن سرورهای جدید به جای قوی تر کردن یک سرور. asp.net core به شکل پیش فرض برای این نوع مقیاس پذیری بسیار مناسب است.

Session و State در محیط توزیع شده

یکی از چالش های مهم در توزیع ترافیک مدیریت session کاربران است. اگر کاربر در یک درخواست به سرور اول و در درخواست بعدی به سرور دوم هدایت شود چه اتفاقی می افتد

راهکارهای عملی شامل موارد زیر است

• استفاده از distributed cache مثل Redis
• استفاده از دیتابیس برای نگهداری session
• stateless کردن تا حد ممکن

در پروژه های سازمانی ویژه کسب و کارهای تبریز ما معمولا ترکیب redis و طراحی stateless را پیشنهاد می دهیم.

تاثیر توزیع ترافیک بر performance و SEO

سرعت سایت یکی از فاکتورهای مهم تجربه کاربری و سئو است. وقتی توزیع ترافیک درست انجام شود زمان پاسخ کاهش پیدا می کند و این یعنی امتیاز بهتر نزد موتورهای جستجو.

اگر به مباحث سئو فنی علاقه دارید پیشنهاد می کنم مقاله زیر را هم ببینید

اشتباهات رایج در پیاده سازی توزیع ترافیک

• نادیده گرفتن session و state
• وابستگی مستقیم سرورها به فایل سیستم محلی
• عدم مانیتورینگ و لاگ مناسب
• پیچیده کردن بیش از حد معماری در پروژه های کوچک

تجربه ما نشان داده که ساده شروع کردن و اصولی رشد دادن بهترین استراتژی است.

نقش شرکت برنامه نویسان دانش برتر سهند

ما با بیش از ۲۰ سال سابقه در طراحی و توسعه وب سایت های شرکتی سازمانی و ارگانی پروژه های asp.net core را کاملا اختصاصی و بدون استفاده از cms پیاده سازی می کنیم.

تکنولوژی هایی که استفاده می کنیم شامل asp.net core vue.js mssql و node.js است و تمرکز اصلی ما روی امنیت سرعت و مقیاس پذیری است.

زمان طراحی پروژه ها از یک ماه شروع می شود و هزینه ها از ۳۰ میلیون تومان بسته به پیچیدگی متغیر است.

نمونه سناریوی واقعی از یک پروژه پرترافیک

یکی از پروژه های ما برای یک شرکت بزرگ در تهران روزانه ده ها هزار درخواست همزمان داشت. با پیاده سازی توزیع ترافیک و بهینه سازی معماری توانستیم زمان پاسخ را بیش از ۴۰ درصد کاهش دهیم.

این تغییر مستقیما باعث افزایش رضایت کاربران و رشد فروش آنلاین شد.

ارتباط توزیع ترافیک با طراحی UI و UX

شاید در نگاه اول ارتباطی دیده نشود اما وقتی backend سریع و پایدار باشد طراح ui و ux می تواند تجربه روان تری برای کاربر بسازد.

ما در پروژه های خود با استفاده از bootstrap 5 رابط هایی طراحی می کنیم که حتی در شرایط ترافیک بالا هم حس سرعت و اعتماد را منتقل کند.

پیشنهاد مطالعه بیشتر

پرسش های متداول