ක්රොස් සයිට් ස්ක්රිප්ටින් ප්රහාරක ආකාර තුනක් තියනවා.
1. Reflected XSS Attack - අදාල වෙබ් අඩවියේ URL එක අගට හරි search box එකකට හරි අදාල කේත කොටසක් ඇතුල් කරලා සිදුකරන පහරදීම
උදාහරනයක් විදියට ගිතන්නකො search box එකක් තියන සයිට් එකක්. අපේම http://www.forum.hacker.lk/search.php එක කියමු. ඕකෙ search box එකේ <script>alert('it is vulnerable')</script> කියල ටයිප් කරලා enter කරපුවම අර alert කියන function එකේ දීල තියන පනිවිඩේ සහිත message box එකක් එනවනම් ඉතිං ඒ අඩවියෙ ආරක්ශාවට දෙයියංගෙම පිහිට තමයි. අපි දන්නවනෙ ජාවාස්ක්රිප්ට් කියන්නෙ freeform language එකක් කියල. ඒ කිව්වෙ vb වගේ පේලියෙන් පේලිය ලියන්න ඕනෙ නෑ. හැම විධානයක්ම ; සලකුනකින් වෙන් කරලා එක දිගට ලියන් යන්න පුලුවන්. ඉතින් අර විදියෙ හරියට ආරක්ෂාව තර කරපු නැති අඩවියකට ඔයාගෙ ස්ක්රිප්ට් එකක් එන්නත් කරලා පහරදෙන්නෙ ඔය විදියට.
2. Stored XSS Attack - අඩවියේ comment එකක් දාන තැන හරි guestbook එකකට හරි අදාල කේත කොටසක් ඇතුල් කරලා සිදුකරන පහරදීම
මෙතනදි පහරදීම සාර්ථකව සිදුවුනත් ඒ වෙලේම ප්රතිපල බලන්න බෑ. මොකද මේ විදියට පහරදීම සාර්ථකව සිදුවුනත් ඇත්තටම ප්රහාරය සිද්ධවෙන්නෙ පරිශීලකයො ඒ පිටුවට පිවිසෙනකොට. උදාහරනෙකට හිතන්න comment දාන්න පුලුවන් හරි guest book එකක් හරි තියන සයිට් එකක් ගෙන. wordpress වල blogger වල එහෙම ඔයාලා දැකලා ඇති පුංචි අකුරු වලින් සදහන් කරලා තියනවා මේ මේ ටැග් විතරයි භාවිතා කරන්න දෙන්නෙ කියලා. නමුත් හිතන්න ඔය පුරුදුවෙන වගේ කෙනෙක් ලියප සයිට් එකක තියන guestbook එකකට <script></script> ඇතුල්කරගන්න පුලුවන් උනා කියලා. එතන ඉදන් guest book එකට එන පරිශීලකයන්ට පහරදෙන්න පුලුවන් නේද අරෙහෙම ඇතුල් කරන ස්ක්රිප්ට් එකකින්
3. DOM based XSS - පරිශීලකයගෙ පරිගණකයට විකෘති කරනලද කේතයක් යවලා සිදුකරන පහරදීම
මේක අලුත් technique එකක්. web2 හදුන්වාදීමත් සමග තමා කරලියට ආවෙ. මෙතනදි සිද්ධවෙන්නෙ පරිශීලකයගෙ පරිගණකයට යවන දත්ත ඒ පරිගනකය තුල සැකසීම සිදුවෙන විදියට content වෙනස්කර යැවීම මගින් පරිශීලකයාගේ පරිගණකයේ පාලනය අතට ගැනීම.
ඌණපූර්ණයක් ලියන්න, සාංවාදයකට මුලපුරන්න, පශ්ණ අහන්න...
