Cross-Site Scripting (XSS) Saldırıları: Türleri, Riskleri ve Korunma Yöntemleri

froxy · 8 Ağu 2025

Cross-Site Scripting (XSS) Nedir?

Cross-Site Scripting (XSS), web uygulamalarında sıkça rastlanan ve kötü niyetli betiklerin (genellikle JavaScript) bir web sayfasına enjekte edilmesiyle gerçekleşen bir güvenlik zafiyetidir. Bu tür saldırılar, saldırganın tarayıcının aynı kaynak ilkesini (Same-Origin Policy) aşarak, kullanıcıların tarayıcıları üzerinden kötü amaçlı kod çalıştırmasına olanak tanır.

XSS Saldırılarının Türleri:

Yansıyan (Reflected) XSS: En yaygın türdür. Saldırganın gönderdiği zararlı betik, web sunucusu tarafından işlenir ve doğrudan HTTP yanıtına yansıtılır. Kurbanın bu özel olarak hazırlanmış URL'ye tıklamasıyla betik çalışır. Veritabanında kalıcı olarak depolanmaz.
Kalıcı (Stored) XSS: En tehlikeli XSS türüdür. Kötü amaçlı betik, web uygulamasının veritabanı gibi kalıcı bir depolama alanına kaydedilir (örneğin, forum gönderileri, yorumlar). Daha sonra bu içeriği görüntüleyen her kullanıcı, betiğin kurbanı olur.
DOM Tabanlı (DOM-based) XSS: Bu tür XSS, sunucu tarafında değil, tarayıcının belge nesne modeli (DOM) üzerinde gerçekleşir. Genellikle istemci tarafındaki JavaScript kodundaki zafiyetlerden kaynaklanır. URL'deki verilerin doğrudan DOM'a yazılmasıyla tetiklenebilir.

XSS Saldırılarının Potansiyel Riskleri:

Oturum Çalma (Session Hijacking): Kurbanın oturum çerezleri ele geçirilerek, kullanıcı adına işlem yapılabilir.
Hassas Bilgi Hırsızlığı: Kimlik bilgileri, kredi kartı numaraları gibi veriler çalınabilir.
Web Sitesi Değiştirme (Defacement): Sitenin içeriği değiştirilebilir veya kötü amaçlı içerik eklenerek itibar zedelenir.
Yönlendirme ve Kimlik Avı: Kullanıcılar kötü amaçlı sitelere yönlendirilebilir.
Kötü Amaçlı Yazılım Dağıtımı: Kullanıcının cihazına zararlı yazılım indirilmesi sağlanabilir.

XSS Saldırılarına Karşı Korunma Yöntemleri:

Web uygulamalarını XSS saldırılarından korumak için çok katmanlı bir yaklaşım benimsemek esastır:

Girdi Doğrulama ve Temizleme (Input Validation & Sanitization): Kullanıcıdan alınan tüm girdiler sunucu tarafında titizlikle doğrulanmalı ve potansiyel tehlikeli karakterler temizlenmelidir. Yalnızca beklenen formatta ve içerikteki veriler kabul edilmelidir.
Çıktı Kodlama (Output Encoding/Escaping): Kullanıcı tarafından sağlanan herhangi bir veriyi web sayfasına yazdırmadan önce, o verinin görüntüleneceği bağlama (HTML, JavaScript, URL vb.) uygun şekilde kodlanması/kaçırılması (escape) hayati önem taşır. Bu, tarayıcının zararlı kodu yürütmek yerine metin olarak algılamasını sağlar. Örneğin, '<' karakteri '<' olarak kodlanmalıdır.
İçerik Güvenlik Politikası (Content Security Policy - CSP): Web sunucusundan gönderilen HTTP yanıt başlıklarına CSP ekleyerek, tarayıcının yalnızca belirli kaynaklardan betik, stil veya diğer içerikleri yüklemesine izin verilebilir. Bu, XSS saldırısının etkilerini büyük ölçüde azaltır.
HTTP-Only Çerezleri: Oturum çerezleri için "HttpOnly" bayrağının kullanılması, istemci tarafı betiklerinin (JavaScript) bu çerezlere erişimini engeller. Bu, oturum çalma saldırılarının riskini azaltır.
Güvenlik Başlıkları: 'X-XSS-Protection' (modern tarayıcılarda CSP varken daha az önemli olsa da), 'X-Content-Type-Options: nosniff' gibi HTTP güvenlik başlıklarını kullanmak ek koruma sağlar.
Web Uygulama Güvenlik Duvarları (WAF): WAF'lar, bilinen XSS kalıplarını tespit ederek ve engelleyerek ek bir güvenlik katmanı sunar.
Güvenli Geliştirme Pratikleri: Geliştiricilerin güvenlik farkındalığına sahip olması, güvenli kodlama standartlarına uyması ve düzenli güvenlik testleri (sızma testleri, kod incelemeleri) yapması kritik öneme sahiptir.

Sonuç:

XSS saldırıları, web uygulamaları için ciddi bir tehdit oluşturur ve kullanıcı gizliliğini ve veri bütünlüğünü tehlikeye atabilir. Bu saldırılardan korunmak için, hem geliştirme aşamasında hem de operasyonel süreçlerde yukarıda belirtilen güvenlik önlemlerinin eksiksiz bir şekilde uygulanması büyük önem taşımaktadır. Güvenli kodlama alışkanlıkları ve sürekli güvenlik denetimleri, XSS ve benzeri web zafiyetlerine karşı en güçlü kalkanlardır.