कंटेंट स्पूफिंग का उपयोग उस हमले के प्रकार को परिभाषित करने के लिए किया जाता है जिसमें दुर्भावनापूर्ण प्रोग्रामर टेक्स्ट इंजेक्शन या HTML इंजेक्शन द्वारा उपयोगकर्ता को एक नकली वेबसाइट को वैध के रूप में प्रस्तुत करते हैं। जब कोई वेब एप्लिकेशन उपयोगकर्ता द्वारा सर्च आदि का उपयोग करके सप्लाई किए गए डेटा को ठीक से हैंडल नहीं करता है, तो हमलावर ऐसी स्थिति का लाभ उठा सकता है और अतिरिक्त पैरामीटर्स इंजेक्ट कर सकता है जो उपयोगकर्ता द्वारा अनदेखे रह जाते हैं। यह किसी अन्य वेब पेज पर ले जाता है जो मूल वेबपेज जैसा दिखता है। वह पेज उपयोगकर्ता से गोपनीय जानकारी इनपुट करने के लिए कह सकता है जिसे जारी करने पर गंभीर नुकसान हो सकता है।
इंजेक्शन के दो बुनियादी प्रकार हैं:
- HTML इंजेक्शन
- टेक्स्ट इंजेक्शन
HTML इंजेक्शन
- हमलावर कमजोर वेब एप्लिकेशन ढूंढता है।
- हमलावर किसी भी माध्यम, आमतौर पर ईमेल के जरिए यूज़र को संशोधित URL भेजता है। इस URL में टेक्स्ट इंजेक्ट होता है।
- URL पर क्लिक करने पर यूज़र हमलावर के वेबपेज पर नेविगेट होता है, जो वैध जैसा दिखता है।
- यूज़र से यूज़रनेम, पासवर्ड, कार्ड पिन आदि जैसी जानकारी मांगी जाती है।
- यह जानकारी हमलावर के सर्वर पर ट्रांसफर हो जाती है।
उदाहरण
कुछ साइट्स HTML कंटेंट को भी URL में पैरामीटर्स के रूप में पास करती हैं, आमतौर पर एक div टैग के अंदर। यह एक बड़ी भेद्यता पैदा करता है।
www.testing.com/siteAdcontent?divMessage=<h1>Click Here!!</h1> इसे संशोधित करना संभव है:
www.testing.com/siteAdcontent?divMessage=<hack><h1>Do not Click!!</h1><hack>
टेक्स्ट इंजेक्शन
- हमलावर कमजोर वेब एप्लिकेशन ढूंढता है।
- हमलावर URL में पास किए गए पैरामीटर्स के मानों को संशोधित करता है।
- विकृत पेज रिक्वेस्ट लिंक हमलावर के सर्वर पर भेजा जाता है।
- एक वैध वेब पेज अब पैरामीटर्स के अनुसार गलत जानकारी दिखाता है।
- तब होता है जब मैसेज रिक्वेस्ट पैरामीटर्स के माध्यम से पास किया जाता है।
उदाहरण
www.testing.com/loginAction?userName=abc&password=123 इसे इस रूप में जोड़ा जा सकता है:
www.testing.com/loginAction?errorMessage=PasswordEmpty यह नया URL उपयोगकर्ताओं को एक ऐसे पेज पर ले जा सकता है जो गलत कंटेंट प्रदर्शित करता है और उपयोगकर्ता को नाराज कर सकता है।
