Komutları üretim sunucusunda çalıştırmadan önce yedek alın ve mümkünse bir test ortamında deneyin. Yönetim erişiminizi (SSH, panel) kaybetmemek için ayar değişikliklerinde açık bir ikinci oturum bulundurun.
Bu rehberde ne yapacağız?
Siteler arası betik çalıştırma (XSS), saldırganın bir sayfaya kendi JavaScript kodunu yerleştirip ziyaretçinin tarayıcısında çalıştırması saldırısıdır. Oturum çerezini çalmaktan sahte form göstermeye kadar etkileri olabilir. Bu rehberde XSS önleme için iki ana savunmayı kuracağız: çıktıda kaçış (escaping) ve Content-Security-Policy (CSP) başlığı.
Rehber, web sitesi barındıran sunucu yöneticileri ve geliştiriciler içindir. Tahmini süre: 40-60 dakika. CSP'yi önce yalnızca raporlama kipinde çalıştırıp siteyi bozmadan sıkılaştıracağız.
Gereksinimler
- Nginx veya Apache web sunucusunda yapılandırma değiştirme yetkisi (sudo)
- Uygulama kaynak koduna erişim (PHP örnekleri kullanılmıştır, ilke her dilde aynıdır)
- Tarayıcı geliştirici araçlarına erişim (konsolda CSP ihlallerini görmek için)