حمله Self-XSS

= حمله اسکریپت‌نویسی متقاطع توسط خود کاربر =
**حمله اسکریپت‌نویسی متقاطع توسط خود کاربر** (به انگلیسی **[[:en:Self-XSS#cite ref-tomsguide 1-0|Self-XSS]]** یا **Self Cross-Site Scripting**) یکی از انواع آسیب‌پذیری‌های امنیتی است که توسط مهاجمان برای به‌دست آوردن کنترل حساب‌های وب افراد قربانی مورد استفاده قرار می‌گیرد. در حمله **Self-XSS**، قربانی به اشتباه یا از طریق فریب، کد مخربی را در مرورگر وب خود اجرا می‌کند. این امر منجر به افشای اطلاعات شخصی او می‌شود که ممکن است شامل اطلاعات حساس همچون نام کاربری، رمز عبور، یا حتی اطلاعات مالی باشد. این نوع حمله معمولاً از طریق **مهندسی اجتماعی** به وقوع می‌پیوندد؛ به‌طوری که مهاجم قربانی را قانع می‌کند که کد مخرب را در مرورگر خود وارد کند. 
وسط|بی‌قاب|662x662پیکسل
برخلاف سایر انواع '''XSS''' (Cross-Site Scripting), **Self-XSS** معمولاً برای مهاجمین نیاز به دسترسی به سرور یا وب‌سایت آسیب‌دیده ندارد و تمامی عملیات در سطح مرورگر قربانی انجام می‌شود.[1] در این نوع حمله، آسیب‌پذیری در مرورگر قربانی وجود دارد و برخلاف **[[تزریق اسکریپت از طریق وبگاه|XSS]]**های معمولی که به حمله‌کننده اجازه می‌دهد به سایت‌های مختلف حمله کند، در **Self-XSS** مهاجم بیشتر بر روی ترغیب قربانی به اشتباه و وارد کردن کد در مرورگر خود تکیه دارد.

## بررسی کلی
**Self-XSS** با فریب دادن کاربران برای کپی و پیست کردن محتوای مخرب در مرورگر وب خود عمل می‌کند. این شامل مواردی است که کاربر یک payload را در یک ورودی کپی می‌کند یا در کنسول توسعه‌دهندگان وب قرار می‌دهد.[۱] معمولاً مهاجم پیامی ارسال می‌کند که در آن گفته شده با کپی و اجرای کدی خاص، کاربر قادر خواهد بود پاداش‌های مجازی دریافت کند یا یک وب‌سایت را هک کند. در واقع، این کد به مهاجم اجازه می‌دهد که حساب قربانی را تصاحب کند.[۲] معمولاً **Self-XSS** تأثیر کمی دارد، اما اگر با یک آسیب‌پذیری جعل درخواست میان‌وب‌گاهی (CSRF) ترکیب شود، تأثیر آن به اندازه حملات معمولی **[[تزریق اسکریپت از طریق وبگاه|Cross-Site Scripting]]** (XSS) افزایش می‌یابد.[۳]

## تاریخچه و کاهش خطر
در گذشته، حملات مشابهی وجود داشت که در آن کاربران فریب می‌خوردند تا کد جاوااسکریپت مخرب را در نوار آدرس مرورگر خود وارد کنند. اما پس از اینکه تولیدکنندگان مرورگرهای وب اقداماتی را برای جلوگیری از اجرای آسان جاوااسکریپت از نوار آدرس انجام دادند،[۴][۵] مهاجمان شروع به استفاده از روش‌های جدیدتری همچون **Self-XSS** کردند. از آن زمان، تولیدکنندگان مرورگرهای بزرگ و وب‌سایت‌ها برای کاهش خطر این حمله، تدابیری را اتخاذ کرده‌اند. به عنوان مثال، فایرفاکس[۶] و گوگل کروم[۷] هر دو اقدام به پیاده‌سازی سیستم‌های هشداردهنده کرده‌اند که کاربران را از خطرات احتمالی **Self-XSS** آگاه می‌کنند. همچنین، برخی از وب‌سایت‌ها مانند فیس‌بوک زمانی که کاربران کنسول توسعه‌دهندگان وب را باز می‌کنند، هشدارهایی در خصوص **Self-XSS** به آن‌ها نمایش می‌دهند و لینک‌هایی به صفحات توضیحی ارائه می‌دهند که در آن‌ها جزئیات بیشتری در مورد این حمله و نحوه جلوگیری از آن شرح داده شده است.[۸][۹]

## ریشه‌شناسی
واژه **Self-XSS** از دو قسمت تشکیل شده است: "Self" که به این معناست که کاربر به‌طور عمد یا غیرعمد خود را هدف قرار می‌دهد و "XSS" که مخفف **Cross-Site Scripting** است. در حملات **XSS**، مهاجم کد مخرب را وارد یک وب‌سایت می‌کند که باعث اجرای آن در مرورگر کاربر می‌شود. اما در **Self-XSS**، این عملیات به‌طور کامل توسط کاربر انجام می‌شود. در واقع، قربانی کد مخرب را خود به صورت دستی در مرورگر خود وارد می‌کند، که باعث می‌شود **Self-XSS** تأثیرات کمتری نسبت به سایر انواع **XSS** داشته باشد. این حمله بیشتر به مهندسی اجتماعی بستگی دارد و به همین دلیل، معمولاً منجر به بروز خطرات جدی نمی‌شود، مگر اینکه با آسیب‌پذیری‌های دیگر مانند **CSRF** ترکیب شود. نکته مهم این است که خطر حملات **Self-XSS** به دلیل استفاده از کنسول توسعه‌دهندگان وب نمی‌تواند به‌طور کامل توسط اپراتورهای وب‌سایت حذف شود.[۱۰]

## منابع

# Scharr, Jill (۲۸ ژوئیه ۲۰۱۴). "Facebook Scam Tricks Users Into Hacking Themselves". Tom's Guide US. Purch.
# Social Networking Security Threats". Sophos. n.d. Retrieved September 27, 2014.
# Stephens, Luke (2021-03-25). "The Ultimate Guide to Finding and Escalating XSS Bugs | @Bugcrowd". Bugcrowd. Retrieved 2024-10-04.
# Bug 656433 – Disallow javascript: and data: URLs entered into the location bar from inheriting the principal of the currently-loaded page". Bugzilla. Mozilla Foundation. May 11, 2011. Retrieved September 28, 2014.
# . Google Code. May 10, 2011. Retrieved September 28, 2014.
# Bug 994134 – Warn first-time users on pasting code into the console". Bugzilla. Mozilla Foundation. April 9, 2014. Retrieved September 28, 2014.
# Issue 345205: DevTools: Combat self-XSS". Google Code. May 10, 2011. Retrieved September 28, 2014
# "What do Self-XSS scams look like?". *Facebook Help*. Facebook. July 11, 2014. Retrieved September 27, 2014.
# What is Self-XSS?". Facebook Help. Facebook. July 15, 2014. Retrieved September 27, 2014.
# Ilascu, Ionut (۲۸ ژوئیه ۲۰۱۴). "Hackers Trick Facebook Users into Self Cross-Site Scripting (XSS) Scam". Softpedia. SoftNews NET SRL. Retrieved September 27, 2014.

## برای مطالعهٔ بیشتر
* McCaney, Kevin (۱۶ نوامبر ۲۰۱۱). "4 ways to avoid the exploit in Facebook spam attack". GCN. 1105 Public Sector Media Group. Retrieved September ۲۸, ۲۰۱۴.

رده: مهندسی اجتماعی (امنیت کامپیوتر) | بهره‌جوهای امنیتی وب