কীভাবে অ্যাপ্লিকেশন html এ কোনও স্ক্রিপ্ট ইনজেক্ট করছে তা কীভাবে জানবেন to


1

লোকালহোস্ট এবং আমার সার্ভারে আমার পৃষ্ঠাগুলিতে http://queryjs.me/services/script.js নামক একটি জাভাস্ক্রিপ্ট ইনজেকশন দিচ্ছে তা কী কী তা আবিষ্কার করার চেষ্টা করছি । অনুরোধটি চালাতে 2 সেকেন্ডের বেশি সময় নেয় যখন এটি কেবল এই স্ক্রিপ্টটিকে ইনজেকশন দেয়, অন্যথায় এটি ইনজেকশন দেয় না। আমি আমার ওএস (ম্যাক ওএস এল ক্যাপ্টেন) টাটকা ইনস্টল করেছি, সমস্ত ব্রাউজার চেক করেছি তবে আমার ওয়েবসাইটগুলিতে কী অ্যাপ্লিকেশনটি এটি ইনজেকশন দিচ্ছে সে সম্পর্কে কোনও ধারণা খুঁজে পাইনি। আমার এখানে একটি উদাহরণ রয়েছে: http://teste.bigonha.com/ আমি একটি ডেটাবেস টেবিল থেকে সমস্ত ডেটা পাই এবং এখনও আমি এই ক্যোয়ারীটি দেখি .js জিনিসটি ইনজেকশন দেওয়া হচ্ছে। আমি আমার আইএসপি, ডিএনএস এবং অন্যান্য কম্পিউটারে চেক করেছি তবে ভাগ্য নেই। এমনকি লোকালহোস্টে এটি ইঞ্জেকশন দেয়। এই অ্যাপ্লিকেশনটি কীভাবে ইনজেকশন দিচ্ছে তা কীভাবে খুঁজে পাওয়া যায় তার কারও কি ধারণা আছে?


1
আপনি কি ডাটাবেস টেবিল চেক করেছেন? আপনি যদি এইচটিএমএল এনকোডিং ব্যবহারকারীর ইনপুট না হন তবে কেউ হয়ত কিছু দূষিত সামগ্রী যুক্ত করতে সক্ষম হবেন।
জেমস পি

আমি এইচটিএমএল আউটপুট এনকোডিং করছি। আর কোথায় তদন্ত করব জানি না। এই স্ক্রিপ্টটি লোড হওয়ার পরে এটি সমস্ত ধরণের ব্যানার লোড করে।
রেন

আপনি কি এটি নিশ্চিত করতে পারেন যে এটি কেবল আপনার নিজের সাইটই প্রভাবিত হয়েছে? আপনার প্রতিটি সম্ভাব্য কারণ নিয়মিতভাবে বাতিল করতে হবে। উদাহরণস্বরূপ, আপনি কি ফাঁকা পিএইচপি পৃষ্ঠা তৈরি করার চেষ্টা করেছেন যা এটি প্রভাবিত হয়েছে কিনা? আপনার সাইটের মধ্যে একটি পিএইচপি বা জাভাস্ক্রিপ্ট অন্তর্ভুক্ত ফাইল থাকতে পারে যা পরিবর্তন করা হয়েছে। আপনার এটিও পরীক্ষা করতে হবে যে আপনার আপাচি কনফিগারেশনটি দূষিত মডিউলগুলি ব্যবহার করার জন্য হাইজ্যাক করা হয়নি, যেমন ব্লগ.সুকুরি
জেমস পি

আমি কোনও খালি পিএইচপি পৃষ্ঠা এটিতে কোনও HTML ছাড়াই তৈরি করেছি। আমার কাছে কেবলমাত্র ভেরিয়েবলের var_dump রয়েছে যার মধ্যে ডিবি ফলাফল রয়েছে। তবুও আমি যখন 6000 ফলাফলের নীচে পাই তখন আমি এর কোনও চিহ্ন দেখতে পাচ্ছি না, তবে এর চেয়ে বেশি যে কোনও সংখ্যা আমার পৃষ্ঠাটিকে এই স্ক্রিপ্টটির সাথে ইনজেকশনে পরিণত করে।
রেন

সেক্ষেত্রে আমি সন্দেহ করি সমস্যাটি ডাটাবেসে রয়েছে। এই ধরণের আক্রমণ প্রতিরোধ করা খুব কঠিন হতে পারে, owasp.org/index.php/… দেখুন
জেমস পি
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.