XSS nedir?

XSS açığı, bir web sitesinin kullanıcıdan aldığı girdileri (input) yeterince denetlemeden, filtrelemeden veya temizlemeden doğrudan tarayıcıya geri yansıtması durumunda oluşur. Normalde tarayıcılar, bir web sitesinden gelen kodları güvenli kabul eder ve doğrudan çalıştırır. Saldırgan siteye zararlı bir JavaScript kodu yerleştirdiğinde, mağdur kullanıcı o sayfayı ziyaret ettiği an tarayıcı bu kodu sitenin kendi orijinal koduymuş gibi algılar ve arka planda sessizce çalıştırır. XSS saldırıları temelde üç ana türe ayrılır: Stored (Kalıcı) XSS: En tehlikeli türdür. Saldırganın yazdığı zararlı kod web sitesinin veri tabanına (örneğin bir blog yorumu veya kullanıcı profil ismi olarak) kalıcı olarak kaydedilir. Sayfayı ziyaret eden her kullanıcının tarayıcısında bu kod otomatik olarak çalışır. Reflected (Yansıtılan) XSS: Zararlı kod veri tabanına kaydedilmez. Genellikle e-posta veya mesaj yoluyla gönderilen manipüle edilmiş bir link (URL) aracılığıyla anlık olarak hedef kullanıcıya yansıtılır. Kullanıcı linke tıkladığında URL içindeki kod tarayıcıda çalışır. DOM-based XSS: Tamamen kullanıcının tarayıcısında (istemci tarafında) gerçekleşir. Sayfanın kaynak kodundaki JavaScript nesnelerinin (DOM) güvensiz bir şekilde işlenmesiyle ortaya çıkar ve sunucuya hiçbir veri gitmeden tarayıcı içinde tetiklenir.

Oturum ve Çerez (Cookie) Hırsızlığı: Saldırganlar, JavaScript kullanarak kullanıcının tarayıcısındaki oturum çerezlerini (Session Cookies) ele geçirir. Bu çerezler sayesinde kullanıcı adı ve şifreye ihtiyaç duymadan, doğrudan mağdurun hesabı üzerinden (buna yönetici panelleri de dahil) siteye giriş yapabilirler. Kimlik Avı (Phishing) ve Sahte Formlar: Güvenilir bir web sitesinin üzerine XSS ile sahte bir giriş formu (pop-up) yerleştirilebilir. Kullanıcı, gerçekten o güvenilir sitede olduğunu sandığı için kredi kartı veya şifre bilgilerini bu sahte forma kendi eliyle girer. Zararlı Yönlendirmeler (Malicious Redirects): XSS açığı barındıran bir siteye giren kullanıcılar, arka planda çalışan bir kodla otomatik olarak virüslü veya dolandırıcılık amaçlı başka web sitelerine yönlendirilebilir. Bu durum sitenin Google gözündeki itibarını ve SEO performansını da ciddi şekilde zedeler. Sitenin Görünümünü Değiştirme (Defacement): Sitenin HTML ve CSS yapısına müdahale edilerek sayfa içeriğinin değiştirilmesi, sahte duyurular eklenmesi veya sitenin sabote edilmesi amacıyla kullanılır.