در حال بارگذاری...
تست دستکاری منابع سمت کلاینت (Client-side Resource Manipulation) که در آن مهاجم می‌تواند منابع بارگذاری‌شده توسط مرورگر را دستکاری کند.
اهداف این درس
دستکاری منابع سمت کلاینت شامل تغییر فایل‌های JavaScript، CSS، تصاویر و سایر منابعی است که مرورگر بارگذاری می‌کند. مهاجم می‌تواند با تغییر این منابع، کد مخرب اجرا کند.
مکانیزمی که اطمینان می‌دهد فایل‌های بارگذاری‌شده از منابع خارجی تغییر نکرده‌اند.
| منبع | خطر | مثال |
|---|---|---|
| JavaScript | بسیار بالا | اجرای کد مخرب |
| CSS | متوسط | تغییر ظاهر |
| تصاویر | پایین | فیشینگ |
| فونت | پایین | تغییر ظاهر |
تمام منابع بارگذاری‌شده از CDN و منابع خارجی را شناسایی کنید.
1<!-- با SRI -->2<script src="https://cdn.example.com/lib.js"3 integrity="sha384-abc123..."4 crossorigin="anonymous"></script>56<!-- بدون SRI -->7<script src="https://cdn.example.com/lib.js"></script>هشدار
فایل‌های بارگذاری‌شده از CDN بدون SRI می‌توانند توسط مهاجم تغییر کنند.
توصیه عملی
از ابزارهایی مثل SRI Hash Generator برای تولید hash فایل‌ها استفاده کنید.
SRI از دستکاری فایل‌های CDN جلوگیری می‌کند.
HTTPS از تغییر منابع در حین انتقال جلوگیری می‌کند.
منابع باید از منابع معتبر بارگذاری شوند.
CSP می‌تواند منابع مجاز را محدود کند.
SRI چگونه از دستکاری منابع جلوگیری می‌کند؟
SRI چیست و چگونه کار می‌کند؟
Subresource Integrity (SRI) مکانیزمی است که اطمینان می‌دهد فایل‌های بارگذاری‌شده از CDN تغییر نکرده‌اند.
چرا دستکاری منابع خطرناک است؟
زیرا مهاجم می‌تواند با تغییر فایل‌های JavaScript، کد مخرب اجرا کند.