تزریق نبشتهٔ قلابی در وب گاه[ ۱] یا تزریق اسکریپت از طریق وب گاه[ ۲] ( انگلیسی: XSS: Cross Site Scripting ) از روش های نفوذ و گرفتن دسترسی غیر مجاز از یک وب گاه است که توسط یک هکر به کار می رود. در XSS تلاش می شود تا یک نبشتهٔ اجرایی ( همچون جاواسکریپت ) یا کد HTML نامطلوب از لایه های امنیتی احتمالی یک وب گاه گذر داده شود و همراه با کد HTML و نبشته های اجرایی اصلی وب گاه دوباره به سمت کاربر بازگردانده شود. در نتیجه مرورگر این کد جدید را با این فرض که متعلق به وب گاه است اجرا کرده و تغییراتی در ظاهر و کارکرد وب گاه حاصل می شود. از همین رو به این حمله «گذردهی نبشته از وب گاه» گفته می شود. در گونهٔ خطرناک تر این حمله، نبشتهٔ گذرانده شده از حفاظ کارگزار، در سمت کارگزار ذخیره می شود ( همچون بخشی از متن یک وبلاگ ) تا در آینده توسط همهٔ کاربرهایی که آن وب گاه را باز می کنند دریافت و اجرا شود. به این گونه «گذردهی پایای نبشته از وب گاه» گفته می شود.
تاریخچه حفره های امنیتی در معرض حملات XSS به سال ۱۹۹۶ و سال های اولیه صفحات وب باز می گردد. نفوذگران در آن زمان که پروتکل HTTP جا افتاده بود و طراحان وب گاه ها از زبان های پردازه نویسی مانند جاوا اسکریپت سود می بردند، دریافتند وقتی کاربران معمولی وارد سایتی می شود می توان به کمک کدنویسی در حفره های امنیتی وب گاه، صفحه دیگری را در همان صفحه بارگذاری کرد سپس با سود بردن از جاوا اسکریپت داده های کاربر مانند نام کاربری، گذرواژه یا کوکی ( Cookie ) ها را دزدید.
در این هنگام رسانه ها این مشکلات را به ضعف امنیتی مرورگرها نسبت داده بودند. شرکت ارتباطی نت اسکیپ که جزو اولین تولیدکنندگان مرورگرهای وب و همچنین سازنده زبان جاوا اسکریپت بود سیاست دامنه شخصی را به این زبان افزود که جلوی دسترسی به آدرس های خارج از دامنه وب گاه را می گرفت و تا حدودی این حملات را محدود می کرد. [ نیازمند منبع]
سناریوهای مختلفی برای قرار دادن کد مخرب در سایتها به عنوان حمله وجود دارد:
• طراح سایت، خود کد مخرب را در صفحه قرار داده باشد.
• حفره سایت ممکن است در سطح سیستم عامل یا شبکه ایجاد شده باشد.
• یک حفره دائمی در یکی از مکان های عمومی وب گاه قرار گرفته باشد.
• قربانی بر روی یک لینک حاوی XSS مدل non - persistent یا DOM - based کلیک کند. ( حملات XSS در واقع یک حفره ی امنیتی در فضای وب است که مهاجم را قادر می سازد فعالیت های کاربرانی را که از برنامه های تحت وب با امنیت پایین استفاده می کنند را به خطر بیاندازد، به این نحو که مهاجم با استفاده از این حفره می تواند سیاست ها و قوانین اجرا شده برای تفکیک وب سایت ها را دور بزند. )
این نوشته برگرفته از سایت ویکی پدیا می باشد، اگر نادرست یا توهین آمیز است، لطفا گزارش دهید: گزارش تخلفتاریخچه حفره های امنیتی در معرض حملات XSS به سال ۱۹۹۶ و سال های اولیه صفحات وب باز می گردد. نفوذگران در آن زمان که پروتکل HTTP جا افتاده بود و طراحان وب گاه ها از زبان های پردازه نویسی مانند جاوا اسکریپت سود می بردند، دریافتند وقتی کاربران معمولی وارد سایتی می شود می توان به کمک کدنویسی در حفره های امنیتی وب گاه، صفحه دیگری را در همان صفحه بارگذاری کرد سپس با سود بردن از جاوا اسکریپت داده های کاربر مانند نام کاربری، گذرواژه یا کوکی ( Cookie ) ها را دزدید.
در این هنگام رسانه ها این مشکلات را به ضعف امنیتی مرورگرها نسبت داده بودند. شرکت ارتباطی نت اسکیپ که جزو اولین تولیدکنندگان مرورگرهای وب و همچنین سازنده زبان جاوا اسکریپت بود سیاست دامنه شخصی را به این زبان افزود که جلوی دسترسی به آدرس های خارج از دامنه وب گاه را می گرفت و تا حدودی این حملات را محدود می کرد. [ نیازمند منبع]
سناریوهای مختلفی برای قرار دادن کد مخرب در سایتها به عنوان حمله وجود دارد:
• طراح سایت، خود کد مخرب را در صفحه قرار داده باشد.
• حفره سایت ممکن است در سطح سیستم عامل یا شبکه ایجاد شده باشد.
• یک حفره دائمی در یکی از مکان های عمومی وب گاه قرار گرفته باشد.
• قربانی بر روی یک لینک حاوی XSS مدل non - persistent یا DOM - based کلیک کند. ( حملات XSS در واقع یک حفره ی امنیتی در فضای وب است که مهاجم را قادر می سازد فعالیت های کاربرانی را که از برنامه های تحت وب با امنیت پایین استفاده می کنند را به خطر بیاندازد، به این نحو که مهاجم با استفاده از این حفره می تواند سیاست ها و قوانین اجرا شده برای تفکیک وب سایت ها را دور بزند. )
