📁
LYK2019-WUG
  • GİRİŞ
  • TEŞEKKÜR
  • Büyük Resim
  • HTTP
    • HTTP Prokolü
    • HTTP Sorgu Yapısı
    • HTTP Başlıkları
    • HTTP Güvenlik Başlıkları
    • HTTP Yanıt Kodları
    • HTTP Raw İsteği
    • HTTP İsteği Oluşturma
    • HTTP Raw İstek Parse
    • HTTP Web Sunucu
    • HTTP Vekil (Proxy)
    • MITM Proxy
  • SSL Konuları
    • SSL Protokolü
    • SSL Sertifika
    • Temel Kriptoloji Kavramları
  • HTML
    • HTML Dili
    • HTML Injection
  • Javascript Dili
    • Javascript Dili
  • Zaafiyetler
    • Yaklaşım
    • Atak vektörleri
  • HTTP Başlık Atakları
    • Host Başlık Atağı
    • Location Başlık Atağı
    • Referer Başlığı
    • X-Forwarded-For Başlığı
  • XSS Zaafiyeti
    • Yansımalı (Reflected) XSS
    • Kaydedilmiş (Stored) XSS
    • DOM XSS
    • Self XSS
    • Context Mantığı
    • XSS Zaafiyetlerinden Korunma
  • OSINT
    • Yaklaşım
    • Araçlar
  • SQL Dili
    • Basit SQL Sorgular
    • SQL Sunucular
  • SQLi Zaafiyeti
    • SQL Cümlecikleri
    • SQLi Yaklaşım
    • Union-based SQLi
    • Blind/Booelan-based SQLi
    • Time-based SQLi
    • Error-based SQLi
    • Out-of-Band/Second Order SQLi
    • SQLi Zaafiyetinden Korunma
    • Blacklist/Whitelist Yaklaşımı
  • CSRF Zaafiyeti
    • Yaklaşım
    • CSRF Zaafiyetinden Korunma
  • SSRF Zaafiyeti
    • Yaklaşım
  • LFI/RFI Zaafiyeti
    • Yaklaşım
  • ReDOS Zaafiyeti
    • Yaklaşım
    • Teori
  • IDOR Zaafiyeti
    • Yaklaşım
  • RCE Zaafiyeti
    • Yaklaşım
  • Command Injection Zaafiyeti
    • Yaklaşım
  • Web Kimliklendirme Teknolojileri
    • SSO
    • OAUTH
    • JWT
    • Basic Auth
  • Komplike Zaafiyet Saldırıları
    • Yaklaşım
    • Self XSS + CSRF
    • Polygot Payload
  • API Güvenliği
    • Yaklaşım
    • API Kavramlar
  • Güvenli Kodlama
    • Yaklaşım
  • Deneyim Kazanma
    • Web Pentester Lab
    • XSS Game
    • Bug Bounty
    • LAB Linkler
Powered by GitBook
On this page

Was this helpful?

  1. XSS Zaafiyeti

Yansımalı (Reflected) XSS

PreviousX-Forwarded-For BaşlığıNextKaydedilmiş (Stored) XSS

Last updated 5 years ago

Was this helpful?

XSS, "cross-site-scripting" zaafiyeti olarak bilinir. CSS ile karıştırılmaması için X ile başlıyor. Kaynağına göre XSS'ler dört gruba ayrılabilir:

  • Yansımalı (Reflected)

  • Kaydedilmiş (Stored)

  • DOM (Doküman Obje Modeli)

  • Self (Öz?)

XSS zaafiyetinin tetiklenebilmesi için javascript kodunu çalıştırıp istediğimizi yapabilmemiz gerekir.

Amaç tarayıcı üzerinden kullanıcı bilgileri almaktır. XSS zaafiyeti bulunan linke "payload" yerleştirip kullanıcının bu linke tıklaması gerekir.

XSS, verinin ortam değiştirdiğinde anlamını değiştirmesi olarak da tanımlanabilir. XSS çıktıda gerçekleşir. Veri input kodlanmış (encoded) olmadığından bu zaafiyet yenir. Verinin kodlanmadığı durumda tarayıcıya gelen verinin yazılımcının ele almadığı şekilde yorumlanması zaafiyet oluşturur.

"Encode" etmek çözüm! Output encoding!

Şekil-6: Yansımalı XSS