Bu soruları nodejs tecrübesi olan biri cevaplasa daha yaralı olur aslında. 1) benim sunucuma post&get yollamak işe yarar mı emin değilim çünkü html statik sayfa kullanıyorum ve node. js değil başka bir web sunucu (AWS S3) den gidiyor sayfa; node. js üzerinden iletişimim sadece socket.io yani soket üzerinden? Yazdıklarım genel tanımlamalar hocam senin sistemi grmeden sana gre bir saldırı senaryosu üretemeyiz en azından ben üretemem. 2) soket iletişimi için zaten sunucu içinde gelen veriyi kontrol ettirmem şart, yoksa adam consola yazacağı hatalı bir emit ile zaten node. js i gçertebiliyor. xss 'nin sunucuya etkisi byle birşey ise zaten yapacağım, sunucu tarafında endişelenmemi gerektiren başka bir husus yok mu xss ile ilgili? Yok gibi grünüyor 3) client-side de sen kendi tarayıcında istediğin değişikliği yapabilirsin tabi ama ben diyorum ki mesela bir chat sayfasında server'dan gelen veriyi diğer başka bir client, div içine yazmadan nce zaten yorumlayacak . burada nasıl bir etkin olabilir? Serverdan dnen veriyi düzenlersem self xss olur saldırı yapmış olmam o yüzden o konuda bir sıkıntı yok tabi giden veri nodejs tarafında eval veya exec benzeri bir mekanizmadan geçip dnmüyorsa. Bayağı üstüne yorum yaptık ama şuan bunlar hep hurafelerden ibaret net bir şekilde şyle olur byle olur şekilnde konuşabilmek için live analiz gerek.

Çünkü hocam sen bir filtreleme yapıyorsun "girdi zararlıysa bana gnderme " demek ile "girdi zararlıyla çalıştırma " demek arasında çok far var. Client side da uyguladığın herşey benim tarayıcımda gerçekleştiği için istediğim gibi şekillendirebilirim mesajı senin formundan değilde kendi yaptığım formdan kendi kurallarıma gre senin sunucuna post veya get ile yollayabilirim o zamanda byle bir manipülasyonun self xss olarak kalması için server-side da farklı mekanizmalar kullanmak gerekebilir yada form token kullanmak gibi iş uzuyor yani . Tabiki senin sistemi grmedik bilmiyoruz hocam çalınacak cookie yok bende demişsin ama xss i sadece cookie çalıp başkasının hesabına girmek olarak değerlendirmemek gerek.. Syleyeceklerim bu kadar saygılar. ncelikle teşekkürü bir borç bilirim. senin yazdıkların ışığında diğer arkadaşlara kolay olsun diye madde madde soruyorum: 1) benim sunucuma post&get yollamak işe yarar mı emin değilim çünkü html statik sayfa kullanıyorum ve node. js değil başka bir web sunucu (AWS S3) den gidiyor sayfa; node. js üzerinden iletişimim sadece socket.io yani soket üzerinden? 2) soket iletişimi için zaten sunucu içinde gelen veriyi kontrol ettirmem şart, yoksa adam consola yazacağı hatalı bir emit ile zaten node. js i gçertebiliyor. xss 'nin sunucuya etkisi byle birşey ise zaten yapacağım, sunucu tarafında endişelenmemi gerektiren başka bir husus yok mu xss ile ilgili? 3) client-side de sen kendi tarayıcında istediğin değişikliği yapabilirsin tabi ama ben diyorum ki mesela bir chat sayfasında server'dan gelen veriyi diğer başka bir client, div içine yazmadan nce zaten yorumlayacak . burada nasıl bir etkin olabilir? bunları kendimi haklı çıkartmak için değil, kafamdaki sorunları cevaplayabilmem için soruyorum. rahatsız ettiysem kusra bakmayın. sevgilerle..

Selamlar, sitedeki bir input'un server'dan dnüşüne http://jsxss.com/en/starter/quickstart.html buradaki gibi basit bir şekilde ekleme yaptım. <script>alert </script> yukarıdaki kodu engelledi felan tamam ama "><b>Bold</b> '><u>Underlined</u> gibi css/still kodlarını engellemiyor, yazı chatpanelde yine bold ya da altıçizgili çıkıyor. bu nasıl bir xss sanitizer? ya da ben bi'şeyleri çok yanlış biliyorum. . ek olarak validation için https://github.com/chriso/validator. js kullanıyorum. bununla escape yaptığım zaman (içinde sanitizer var - "escape - replace <, >, &, ', " and / with HTML entities." diyor ) bold ya da underlined olarak gelmiyor, yazı adamın yazdığı gibi çıkıyor. yani işe yarıyor?! escape kullanmam xss için yeterli bir nlem olur mu? ama validator. js açıklamasında şu var : XSS Sanitization XSS sanitization was removed from the library in 2d5d6999. For an alternative, look at Yahoo's xss-filters library. yani xss sanitizasyon yok diyor ama var gibi de.. kafam karıştı.. bilgi eksikliğinden kaynaklı yanlış sorularım olmuş olabilir, kusra bakmayın. okuduğunuz için çok teşekkür ederim.. RockZs tarafından 27/Kas/15 22:22 tarihinde düzenlenmiştir

clientside ı unut hocam iş serverside da projen nodejs mi ona gre konuşacam evet hocam node. js. client'ten server'a code injection mı yapıyorlar, bu yüzden mi server-side neriyorsunuz? teşekkür ederim.

burada da "anti-xss" veri akışı için sunucu tarafında nlem alınmış, bir bildikleri var herhalde.

Hocam client side her zaman manipüle edilmeye müsait filtreleme işlemlerini server side yapman kuralları senin koymanı sağlar nodejs tecrübem yok fakat mantık belli "girdiyi escape et yle al - çıktıyı escape et yle yaz" https://www.npmjs.com/package/secure-filters şunu bir dene hocam çok gizli birşey değilse test edelim ne kadar başarılı grelim.

Xss client-side tarafında engellenmez server tarafında kodu yazacaksın. Regex ile < > seçip bunu replace ettirerek tüm html kodlarından kurtulabilirsin. Benim tavsiyem ise php. jsde bulunan htmlescape kodunu kullanman. Node. js için mükemmel bir fonksiyon arşivi php. js istersen her alanda kullanabilirsin. iyibu! yeniden..

Bu soruları nodejs tecrübesi olan biri cevaplasa daha yaralı olur aslında. 1) benim sunucuma post&get yollamak işe yarar mı emin değilim çünkü html statik sayfa kullanıyorum ve node. js değil başka bir web sunucu (AWS S3) den gidiyor sayfa; node. js üzerinden iletişimim sadece socket.io yani soket üzerinden? Yazdıklarım genel tanımlamalar hocam senin sistemi grmeden sana gre bir saldırı senaryosu üretemeyiz en azından ben üretemem. 2) soket iletişimi için zaten sunucu içinde gelen veriyi kontrol ettirmem şart, yoksa adam consola yazacağı hatalı bir emit ile zaten node. js i gçertebiliyor. xss 'nin sunucuya etkisi byle birşey ise zaten yapacağım, sunucu tarafında endişelenmemi gerektiren başka bir husus yok mu xss ile ilgili? Yok gibi grünüyor 3) client-side de sen kendi tarayıcında istediğin değişikliği yapabilirsin tabi ama ben diyorum ki mesela bir chat sayfasında server'dan gelen veriyi diğer başka bir client, div içine yazmadan nce zaten yorumlayacak . burada nasıl bir etkin olabilir? Serverdan dnen veriyi düzenlersem self xss olur saldırı yapmış olmam o yüzden o konuda bir sıkıntı yok tabi giden veri nodejs tarafında eval veya exec benzeri bir mekanizmadan geçip dnmüyorsa. Bayağı üstüne yorum yaptık ama şuan bunlar hep hurafelerden ibaret net bir şekilde şyle olur byle olur şekilnde konuşabilmek için live analiz gerek. yorumların için sağol hocam. node. js de eval yok ya da exec kullanmıyorum. gelen veriler if ile kontrol edilip ona gre işlem yapılıyor, ben de bu hususa zaten dikkat edeceğim. vaktin olursa bi' ara birlikte analiz edelim hocam ama nce şu işi biraz daha oturtayım. sevgiler..

Hocam client side her zaman manipüle edilmeye müsait filtreleme işlemlerini server side yapman kuralları senin koymanı sağlar nodejs tecrübem yok fakat mantık belli "girdiyi escape et yle al - çıktıyı escape et yle yaz" https://www.npmjs.com/package/secure-filters şunu bir dene hocam çok gizli birşey değilse test edelim ne kadar başarılı grelim. zaten ona bakıyorum hocam şu anda, yukarıdaki resmi de o sayfadan almıştım :) bunu sanitizer, validator. js yi de hem browser hem server taraflı validator olarak kullanacağım. xss'yi tam olarak anladığımı syleyemem. demek hala bilmediğim birşeyler var, zamanla ğreniriz artık. mesela browser'da bir chat panelinin server çıkışında browser tarafında gelen veriyi escape yapıp ilgili div'e yle yazdıruıyorum, alert'ler felan çalışmıyo'. amaçlanan şey tam olarak bu değil sanırım.. ek: nette araştırıyorum ama cevabını bulamadım. kimse neden server'da xss korunması uygulanmasının nedenini yazamıyor. http://security.stackexchange.com/questions/73689/is-xss-a-server-side-or-client-side-vulnerability mesela bu adreste ağır saçmalayanlar olmuş. performans için server'da çalıştır bu xss nanesini diyor. be mübarek server'ın canı can değil mi? anladığım kadarıyla bu xss açığı server'da pek bi etkili değil. tbt'de eski yazılanları da okudum, bu kanıya vardım. benim sitemde de çalınacak bi' cookie felan da yok. adam en fazla karşşı tarafa alert verdirir, ne bileyim css 'lerle oynar, divleri hidden felan yapar.. browser tarafında veri giriş ve çıkışlarında validasyon ve sanitizasyon uygulayıp geçmek istiyorum. server'ı yormaya niyetim yok. ne dersiniz? ille de server diyorsanız nedenini lütfen açıklayın, vallaha bulamadım.. server'da zaten illaki gelen veriyi yorumlayacağım, yoksa gnderilen saçma bi sokette node. js exception veriyo'. RockZs tarafından 28/Kas/15 11:45 tarihinde düzenlenmiştir

clientside ı unut hocam iş serverside da projen nodejs mi ona gre konuşacam

Çünkü hocam sen bir filtreleme yapıyorsun "girdi zararlıysa bana gnderme " demek ile "girdi zararlıyla çalıştırma " demek arasında çok far var. Client side da uyguladığın herşey benim tarayıcımda gerçekleştiği için istediğim gibi şekillendirebilirim mesajı senin formundan değilde kendi yaptığım formdan kendi kurallarıma gre senin sunucuna post veya get ile yollayabilirim o zamanda byle bir manipülasyonun self xss olarak kalması için server-side da farklı mekanizmalar kullanmak gerekebilir yada form token kullanmak gibi iş uzuyor yani . Tabiki senin sistemi grmedik bilmiyoruz hocam çalınacak cookie yok bende demişsin ama xss i sadece cookie çalıp başkasının hesabına girmek olarak değerlendirmemek gerek.. Syleyeceklerim bu kadar saygılar.