الأنواع الثلاثة
| النوع | كيف تصل الشيفرة |
|---|---|
| المخزَّن | يحفظها الموقع، مثل تعليق أو ملف شخصي، ويعرضها لكل زائر يفتح تلك الصفحة |
| المنعكس | ترسل في رابط أو نموذج ثم تعاد مباشرة في الاستجابة |
| القائم على DOM | تنشأ في المتصفح نفسه، حين تكتب شيفرة الصفحة بيانات غير موثوقة داخلها بطريقة غير آمنة |
لماذا تهم
يثق المتصفح بالشيفرات القادمة من موقعك. فإذا عملت شيفرة المهاجم هناك، استطاعت قراءة الصفحة وإرسال طلبات باسم المستخدم المسجل وعرض نموذج دخول مزيف أو سرقة بيانات. وهي من الثغرات الكلاسيكية في الويب، وتعد نوعا من الحقن في قائمة OWASP Top 10.
مثال
تخيل منتدى يعرض اسم كل عضو دون ترميز. يضع أحد الأعضاء اسمه مقطعا من الشيفرة. فيشغل كل زائر يفتح موضوعا شارك فيه ذلك العضو هذه الشيفرة. هذا المثال افتراضي.
كيف تمنعها
- رمّز المخرجات بحسب سياقها. النص داخل HTML أو داخل خاصية أو داخل شيفرة أو داخل رابط يحتاج كل منها ترميزا مختلفا. وأطر العمل الحديثة مثل React تفعل ذلك تلقائيا.
- تجنب أوامر إدراج HTML الخام، مثل innerHTML، فهي تتخطى هذه الحماية.
- نظّف النص المنسق بمكتبة تنظيف جيدة الصيانة حين يجب أن يتمكن المستخدمون من نشر نص منسق.
- أضف [سياسة أمان المحتوى](/glossary/content-security-policy) كطبقة ثانية تحد مما تستطيع الشيفرة المحقونة فعله.
- اجعل ملفات تعريف الارتباط الخاصة بالجلسة HttpOnly حتى لا تقرأها الشيفرة مباشرة.
أخطاء شائعة
- حذف كلمة script من المدخلات. للمهاجمين طرق كثيرة أخرى لتشغيل الشيفرة.
- الترميز بحسب سياق خاطئ، كترميز HTML داخل كتلة شيفرة.
- الوثوق ببيانات قادمة من قاعدة بياناتك أو واجهة داخلية. فالثغرة المخزنة تبدأ من هنا بالضبط.
- الاكتفاء بسياسة أمان المحتوى وحدها.
مصطلحات ذات صلة
حقن SQL هو قريبها في جهة الخادم. ومراجعة الشيفرة الآمنة جيدة في كشف معالجة المخرجات غير الآمنة.