কন্টেন্ট স্পুফিং হলো একটি সাইবার আক্রমণ যেখানে দুশ্চিন্তা প্রোগ্রামাররা টেক্সট ইনজেকশন বা HTML ইনজেকশন ব্যবহার করে একটি নকল ওয়েবসাইটকে বৈধ ওয়েবসাইট হিসেবে ব্যবহারকারীর सामने উপস্থাপন করে। যখন একটি ওয়েব অ্যাপ্লিকেশন ব্যবহারকারীর দেওয়া ডেটা (যেমন সার্চ কোয়েরি) সঠিকভাবে হ্যান্ডেল করে না, তখন আক্রমণকারী সেটির সুযোগ নিয়ে অতিরিক্ত প্যারামিটার ইনজেক্ট করে যা ব্যবহারকারীর চোখে পড়ে না। ফলে ব্যবহারকারী একটি অন্য পেজে পৌঁছায় যা মূল পেজের অনুরূপ দেখায়। সেখানে গোপন তথ্য (ইউজারনেম, পাসওয়ার্ড, কার্ড পিন) চুরি করা হয়।
দুটি মূল ইনজেকশনের ধরন
- HTML ইনজেকশন
- টেক্সট ইনজেকশন
HTML ইনজেকশন
- আক্রমণকারী ঝুঁকিপূর্ণ ওয়েব অ্যাপ্লিকেশন খুঁজে বের করে।
- মডিফাইড URL (যার মধ্যে টেক্সট ইনজেক্ট করা থাকে) ব্যবহারকারীর কাছে ইমেইল বা অন্য মাধ্যম দিয়ে পাঠায়।
- লিঙ্কে ক্লিক করলে ব্যবহারকারী আক্রমণকারীর পেজে যায় যা বৈধ লাগে।
- ব্যবহারকারি থেকে গোপন তথ্য চুরি করা হয়।
- তথ্য আক্রমণকারীর সার্ভারে চলে যায়।
উদাহরণ: কিছু সাইট URL প্যারামিটারে HTML কন্টেন্ট পাস করে (সাধারণত div ট্যাগের ভেতরে)। এটা বড় সুরক্ষা ঝুঁকি সৃষ্টি করে।
www.testing.com/siteAdcontent?divMessage=<h1>Click Here!!</h1>
একে মডিফাই করে:
www.testing.com/siteAdcontent?divMessage=<hack><h1>Do not Click!!</h1></hack>
টেক্সট ইনজেকশন
- আক্রমণকারী URL-এ পাস করা প্যারামিটারগুলোর মান মডিফাই করে।
- ম্যালফর্মড পেজ রিকোয়েস্ট লিঙ্ক আক্রমণকারীর সার্ভারে পাঠায়।
- একটি বৈধ ওয়েব পেজ এখন প্যারামিটার অনুযায়ী মিথ্যা তথ্য দেখায়।
- যখন মেসেজ রিকোয়েস্ট প্যারামিটার দিয়ে পাস করা হয় তখন এটি ঘটে।
উদাহরণ:
www.testing.com/loginAction?userName=abc&password=123
একে অ্যাপেন্ড করে:
www.testing.com/loginAction?errorMessage=PasswordEmpty
এই নতুন URL ব্যবহারকারীকে মিথ্যা কন্টেন্ট দেখায় যা বিরক্তিকর বা ক্ষতিকর হতে পারে।
প্রতিরোধ: ইনপুট ভ্যালিডেশন, আউটপুট এনকোডিং, Content Security Policy (CSP) ব্যবহার এবং ইউজার সাপ্লাইড ডেটা স্যানিটাইজ করা।
