XSS လို႕ေခၚတဲ့ Cross Site Scripting ကိုအရင္တုန္းကေတာ့ CSS လို႕ေခၚဆိုခဲ့ ၾကပါတယ္ ဒါေပမဲ့လူေတြက Cascading Style Sheet (CSS) နဲ႕မွားယြင္းတတ္ၾကလို႕ 2002 ခုႏွစ္မွာ Steve Champeon ဆိုသူက CSS ဆိုတဲ့အေခၚအေဝၚအစား XSS လို႕ေျပာင္းလဲေခၚဆိုသတ္မွတ္ၾကဖို႕ အၾကံျပဳခဲ့ရာကစျပီး Cross Site Scripting ဆိုတဲ့ Attack ကို XSS လို႕ေျပာင္လဲေခၚဆိုခဲ့ၾကပါတယ္
XSS ဆိုတဲ့ Cross Site Scripting Attack ဟာ Web Site ေတြရဲ့လုံျခဳံေရးဆိုင္ရာအားနည္းခ်က္ (vulnerabilities) ေတြကတစင့္ Web Site ရဲ့ Structure ထဲကို Java Script ေတြကို Attacker (Hacker) ေတြက ထည့္သြင္းအသုံးျပဳႏိုင္တဲ့ Attack တစ္မ်ိဳးပါ XSS ကိုေယဘုယ် အားျဖင့္ေတာ့
Temporary XSS
Permanent XSS
ဆိုျပီး ခြဲျခားလို႕ရပါတယ္

Temporary XSS

သူကေတာ့ URL သို႕မဟုတ္ Field Based XSS ပါ

URL Based XSS ဆိုတာကေတာ့ URL Strings ေတြကတစင့္ Java Script ေတြကို Attacker ကထည့္သြင္းႏိုင္တာမ်ိဳးကိုေခၚတာပါ
ဥပမာ
Code
http://www.target.com/page.php?result=alert ('xss')

အေပၚက ဥပမာကိုၾကည့္မယ္ဆိုရင္ တကယ္လို႕ user တစ္ေယာက္ကေဖာ္ျပပါ page ကိုမ်ား သြားခဲ့မယ္ ဆိုရင္ သူ႕ရဲ့ browser မွာ xss ဆိုတဲ့ alert တစ္ခုတက္လာမွာကိုေတြ႕ရမွာျဖစ္ပါတယ္ တကယ္တမ္းေတာ့ အဲဒါဟာ page.php မွာပါဝင္တဲ့ alert မဟုတ္ပါဘူး ဒါေပမဲ့ အဲဒီ page က vulnerable parameter ျဖစ္တဲ့ result ဆိုတာေၾကာင့္ (coding ပိုင္း မွာ filter မလုပ္ထားတာေၾကာင့္) ျဖစ္တာပါ အဲဒါေၾကာင့္ Attacker (Hacker) က URL String မွာ alert('xss') လို႕ထည့္သြင္းလိုက္တဲ့အခါမွာ xss ဆိုတဲ့ Alert ေပၚလာရျခင္းပဲျဖစ္ပါတယ္

Field Based XSS

Field Based XSS ဆိုတာကေတာ့ Server ကေနျပီး process လုပ္ျပီး ျပန္ျပီး display လုပ္ေပးတဲ့ field ေတြထဲမွာ Java Script ေတြကို Attacker (Hacker) ကထည့္သြင္းတာကိုေျပာတာပါ သူကလည္း URL based XSS နဲ႕ ဆင္တူပါတယ္ ဒီမွာကေတာ့ Attacker ဟာသူ႕ရဲ့ Java Script ကို Form Field ထဲမွာ ထည့္သြင္းေပးရပါတယ္
ဥပမာ
Web Site တစ္ခုမွာ Search Box ရွိျပီး သူဟာ XSS vulnerability ရွိတယ္ဆိုပါစို႕ ဆိုလိုတာက user ကရွာသမွ်ကို search result page မွာ ေဖာ္ျပေပးတာပါ အဲဒီအခါမွာ Attacker က အဲဒီ Search Box ထဲမွာ
alert('xss')
လို႕ ႐ိုက္ထည့္ျပီး ရွာလိုက္ရင္ xss ဆိုတဲ့ pop up box တစ္ခုတက္လာပါလိမ့္မယ္

႐ုတ္တရက္ၾကည့္လိုက္ရင္ေတာ့ အဲဒီလိုမ်ိဳး Temporary XSS ေတြဟာ ဘာ အႏၲရာယ္ မွမရွိေလာက္ဘူးလို႕ ထင္ရေပမဲ့ Attacker (Hacker) ေတြအတြက္ကေတာ့ သူတို႕ရဲ့ Defacement ကိုျပဳလုပ္ဖို႕အတြက္ ပထမဦးဆုံးေသာ ေျခလွမ္းကို စတင္ေစႏိုင္ပါတယ္

Permanent XSS (Persistent သို႕မဟုတ္ Script Injection)

ဒီအပိုင္းကအေရးၾကီးသလို အႏၲရာယ္ လည္း ၾကီးပါတယ္ သူကေတာ့ user တစ္ေယာက္႐ိုက္ထည့္လိုက္တဲ့ Data ကို Web Site ရဲ့ DataBase ထဲမွာ သိမ္းထားေပးျပီး user ကို ျပန္လည္ ျပသေပးပါတယ္
ဥပမာ
Web Site တစ္ခုမွာ Comment Box သို႕မဟုတ္ Guest Book ရွိျပီး အဲဒါဟာ XSS vulnerable ျဖစ္တယ္ဆိုၾကပါစို႕ အဲဒါကို Attacker (Hacker) က
alert('xss')
ဆိုျပီး ႐ိုက္ထည့္လိုက္မယ္ဆိုရင္ အထက္မွာေဖာ္ျပခဲ့သလိုပဲ အဲဒီ script ဟာ Web Site ရဲ့ DataBase ထဲမွာ သြားျပီးသိမ္းဆည္းထားပါတယ္ Attacker (Hacker) ရဲ့ အဲဒီ malicious script ဟာ အဲဒီ comment page ကို browse လုပ္တဲ့ user တိုင္းကို xss ဆိုတဲ့ popup message ကိုေဖာ္ျပေပးမွာျဖစ္ပါတယ္။

Source: