Giả mạo nội dung là thuật ngữ được sử dụng để xác định kiểu tấn công của các lập trình viên độc hại, trong đó họ trình bày một trang web giả mạo như một trang web hợp pháp cho người dùng bằng cách đưa vào văn bản hoặc đưa vào html. Khi một ứng dụng web không xử lý đúng cách dữ liệu do người dùng cung cấp bằng cách sử dụng tìm kiếm, v.v. thì kẻ tấn công có thể lợi dụng tình huống đó và đưa ra các tham số bổ sung mà người dùng không chú ý. Điều này dẫn đến việc truy cập vào một trang web khác giống với trang web gốc. Trang đó có thể yêu cầu người dùng nhập thông tin bí mật và dẫn đến tác hại nghiêm trọng nếu bị tiết lộ.
Hai loại tiêm cơ bản là
- Tiêm Html
- Chèn Văn bản
Html Tiêm
- Kẻ tấn công tìm thấy ứng dụng web dễ bị tấn công.
- Kẻ tấn công gửi URL đã sửa đổi cho người dùng bằng bất kỳ phương tiện nào, thường là qua email. ThisURL đã chèn văn bản.
- Bằng cách nhấp vào URL, người dùng được điều hướng đến trang web của những kẻ tấn công, có vẻ như là một trang hợp pháp.
- Người dùng đã hỏi các thông tin như tên người dùng, mật khẩu, chân thẻ, v.v.
- Thông tin này được chuyển đến máy chủ của những kẻ tấn công.
Ví dụ
Một số trang web cũng chuyển nội dung html trong url dưới dạng tham số, thường là bên trong thẻ div. Điều này gây ra một lỗ hổng lớn.
www.testing.com/siteAdcontent?divMessage=
Nhấp vào đây !!
Có thể sửa đổi nó thành -
www.testing.com/siteAdcontent?divMessage= Đừng nhấp vào !!
Chèn văn bản
- Kẻ tấn công tìm thấy ứng dụng web dễ bị tấn công.
- Kẻ tấn công sửa đổi giá trị của các tham số được truyền vào URL.
- Liên kết yêu cầu trang không đúng định dạng được gửi đến máy chủ của những kẻ tấn công.
- Một trang web hợp lệ hiện hiển thị thông tin sai lệch theo các thông số.
- Xảy ra khi thông báo được chuyển qua các tham số yêu cầu.
Ví dụ
www.testing.com/loginAction?userName=abc&password=123 Có thể được thêm vào dưới dạng
www.testing.com/loginAction?errorMessage=PasswordEmpty Url mới này có thể đưa người dùng đến một trang hiển thị nội dung sai và có thể xúc phạm người dùng.