Cross-Site Scripting (XSS) nedir?

Kısa cevap

Cross-Site Scripting (XSS), kullanıcı girdisi üzerinden bir web sayfasına zararlı script yerleştirip sayfayı ziyaret eden başka kullanıcıların browser'ında çalıştırma saldırısıdır; oturum bilgisini çalmak, hesabı ele geçirmek ya da sayfa içeriğini değiştirmek için kullanılır (OWASP, CWE-79). Girdinin sayfaya encode edilmeden basıldığı uygulamalarda ortaya çıkar; OWASP Top 10:2021'de A03 Injection kategorisindedir. TR7 WAF'ta imza kütüphanesinin Cross-Site Scripting kategorisidir; bu kategorideki imzalar isteğin Path, Query, Header, Form, JSON, XML ve Raw alanlarını tarar, eşleşen imzanın puanı isteğin saldırı puanına eklenir ve puan OWASP Protection Level eşiğine ulaşırsa istek Blocking modunda engellenir. Browser tarafında Content-Security-Policy gibi security header'lar ek bir katman sağlar.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Configuration Menu → WAF → Signature & Rule Library → Filter	Signature Categories → Cross-Site Scripting	Bu saldırı türüne ait imzaları listeleme ve durumlarını (Enabled, Monitor, Disabled) yönetme
Signature & Rule Library → Columns	Signature Category, CWE, OWASP Web Coverage kolonları; varsayılan olarak gizli	Kuralın kategorisini ve sınıflandırmasını tabloda görme
Left Monitor Panel → WAF-Protected vServices → vService → Dashboard	Detected Attacks by Category	Tespit edilen saldırıların kategorilere dağılımı
WAF-Protected vServices → vService → Event Logs	Filtre şeridi → Category; log önizlemesinin Attacks sekmesi	Engellenen ya da izlenen isteğin hangi imzaya ve kategoriye takıldığını görme

• Browser tarafındaki ek katman: HTTP security header'ları nedir? · Content-Security-Policy (CSP) nedir?
• Kategori listesi: İmzalar hangi saldırı kategorilerini kapsıyor?

Sık Karıştırılan Noktalar

• "XSS sunucuya saldırır." Hedef, sayfayı ziyaret eden kullanıcıların browser'ıdır; sunucu zararlı içeriği taşıyan aracıdır.
• "WAF tek başına XSS'i bitirir." WAF istekteki bilinen desenleri yakalayan ek bir katmandır; asıl çözüm uygulamanın çıktıyı encode etmesidir.
• "XSS imzasına takılan istek her zaman engellenir." Engelleme, isteğin toplam saldırı puanının OWASP Protection Level eşiğine ulaşmasına ve WAF'ın Blocking modunda olmasına bağlıdır. Monitor modunda istek yalnızca kaydedilir; Learning modunda imza isabetleri puana eklenmez.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Signature Categories
• Signature & Rule Library · Score Değerleri ve Koruma Düzeyi
• WAF · Engelleme Eşiği

İlgili sorular

• TR7 WAF hangi saldırılara karşı koruma sağlar?
• İmzalar hangi saldırı kategorilerini kapsıyor?
• SQL Injection nedir?
• OWASP ve OWASP Top 10 nedir; TR7 WAF'ta nerede görünür?