Semantic URL attack
ஒரு சொற்பொருள் URL தாக்குதலில், ஒரு கிளையன்ட் URL இன் தொடரியல் பராமரிப்பதன் மூலம் அதன் கோரிக்கையின் அளவுருக்களை கைமுறையாக சரிசெய்கிறார், ஆனால் அதன் சொற்பொருள் பொருளை மாற்றுகிறார். இந்த தாக்குதல் முதன்மையாக சிஜிஐ இயக்கப்படும் வலைத்தளங்களுக்கு எதிராக பயன்படுத்தப்படுகிறது. வலை உலாவி குக்கீகளை உள்ளடக்கிய இதேபோன்ற தாக்குதல் பொதுவாக குக்கீ விஷம் என்று குறிப்பிடப்படுகிறது. எடுத்துக்காட்டு ஒரு வலை அடிப்படையிலான மின்னஞ்சல் பயன்பாட்டைக் கவனியுங்கள், அங்கு பயனர்கள் பாதுகாப்புக் கேள்விக்கு சரியாக பதிலளிப்பதன் மூலம் தங்கள் கடவுச்சொல்லை மீட்டமைக்கலாம், மேலும் பயனர்கள் தாங்கள் விரும்பும் மின்னஞ்சல் முகவரிக்கு கடவுச்சொல்லை அனுப்ப அனுமதிக்கிறது. பாதுகாப்புக் கேள்விக்கு அவர்கள் சரியாக பதிலளித்த பிறகு, பயனர்கள் தங்கள் மாற்று மின்னஞ்சல் முகவரியை உள்ளிடக்கூடிய பின்வரும் வலைப்பக்கத்திற்கு வலைப்பக்கம் வரும்ஃ <படிவ நடவடிக்கை = "resetpassword.php" முறை = "GET"> <உள்ளீட்டு வகை = "மறைக்கப்பட்ட" பெயர் = "பயனர்பெயர்" மதிப்பு = "பயனர்001"/> <p> தயவுசெய்து உங்கள் மாற்று மின்னஞ்சல் முகவரியை உள்ளிடவும்ஃ </p> <உள்ளீட்டு வகை = "உரை" பெயர் = "altemail"/> <b/> <உள்ளீட்டு வகை = "சமர்ப்பிக்கவும்" மதிப்பு = "சமர்ப்பிக்கவும்"/> </படிவம்> பெறுதல் பக்கம், resetpassword.php, புதிய மின்னஞ்சலுக்கு கடவுச்சொல்லை அனுப்ப தேவையான அனைத்து தகவல்களும் உள்ளன. மறைக்கப்பட்ட மாறி பயனர்பெயரில் பயனர்001 மதிப்பு உள்ளது, இது மின்னஞ்சல் கணக்கின் பயனர்பெயராகும். இந்த வலைப் படிவம் GET தரவு முறையைப் பயன்படுத்துவதால், பயனர் கடவுச்சொல்லை அனுப்ப விரும்பும் மின்னஞ்சல் முகவரியாக alternative@emailexample.com ஐ சமர்ப்பிக்கும்போது, பயனர் பின்வரும் URL க்கு வருகிறார்ஃ http://semanticurlattackexample.com/resetpassword.php?username=user001&altemail=alternative%40emailexample.com இந்த URL உலாவியின் இருப்பிடப் பட்டியில் தோன்றும், எனவே பயனர் URL அளவுருக்கள் மூலம் பயனர் பெயர் மற்றும் மின்னஞ்சல் முகவரியை அடையாளம் காணலாம். பின்வரும் URL ஐப் பார்வையிடுவதன் மூலம் மற்றவர்களின் (பயனர்002) மின்னஞ்சல் முகவரியைத் திருட பயனர் முடிவு செய்யலாம்ஃ resetpassword.php இந்த மதிப்புகளை ஏற்றுக்கொண்டால், அது ஒரு சொற்பொருள் URL தாக்குதலுக்கு ஆளாக நேரிடும். பயனர்002 மின்னஞ்சல் முகவரியின் புதிய கடவுச்சொல் உருவாக்கப்பட்டு alternative@emailexmaple.com க்கு அனுப்பப்படும், இதனால் பயனர்002 இன் மின்னஞ்சல் கணக்கு திருடப்படும். சொற்பொருள் URL தாக்குதல்களைத் தவிர்ப்பதற்கான ஒரு முறை அமர்வு மாறிகளைப் பயன்படுத்துவதாகும். இருப்பினும், அமர்வு மாறிகள் அமர்வு கடத்தல் மற்றும் குறுக்கு-தள ஸ்கிரிப்டிங் போன்ற பிற வகையான தாக்குதல்களால் பாதிக்கப்படலாம். குறிப்புகள் மேலும் காண்க கேள்வி சரம் இணைய பாதுகாப்பு URL