DVWA-CSPBypass

最新推荐文章于 2023-10-28 18:21:22 发布
最新推荐文章于 2023-10-28 18:21:22 发布
阅读量4.7k 收藏
点赞数
分类专栏： dvwa 笔记 文章标签： 安全漏洞 网络安全 测试工具
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/AI_SumSky/article/details/121578106
版权
笔记 同时被 2 个专栏收录
28 篇文章 1 订阅
订阅专栏
dvwa
14 篇文章 0 订阅
订阅专栏

CSPBypass

CSP简介
CSP全称是: Content-Security-Policy, 内容安全策略。
是指HTTP返回报文头中的标签,浏览器会根据标签中的内容，判断哪些资源可以加载或执行。主要是为了缓解潜在的跨站脚本问题(XSS),浏览器的扩展程序系统引入了内容安全策略这个概念。原来应对XSS攻时，主要采用函数过滤转义输入中的特殊字符、标签、文本来规避攻击。CSP的实质就是白名单制度，开发人员明确告诉客户端，哪些外部资源可以加载和执行。开发者只需要提供配置，实现和执行全部由浏览器完成。

low级别

通过对http头中定义了CSP定义了CSP 标签，‘self’指可以访问的网址，网址白名单及 https://pastebin.com ，访问后发现为文本编辑网址，我们可以在该网址编辑xss脚本，然后包含该网址实现XSS

在这里插入图片描述
在这里插入图片描述

在白名单网址，编辑脚本

在这里插入图片描述

把网址复制到执行页面执行，发现没成功，没弄清楚为啥，原理上因该是成功的

在这里插入图片描述

medium级别

分析页面源码发现他已经制定了随机数，注入时代这个随机数就好

在这里插入图片描述

执行代码

在这里插入图片描述

high级别

分析源码发现，没有信任的网站，那就只能在自己本地包含东西，利用javascript的回调

[

提交代码执行注入成功

在这里插入图片描述

总结

漏洞原理：虽然csp白名单能一定上阻止xss攻击，但是如果被信任的网址本身也有问题的话或者csp策略运用不好也会被绕过

单能一定上阻止xss攻击，但是如果被信任的网址本身也有问题的话或者csp策略运用不好也会被绕过

防御：csp白名单设置要合理，定期检查被信任网站安全

AI_SumSky
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CSP-Bypass, 在内容安全策略中，用于检测弱点的打嗝插件.zip
09-18
CSP-Bypass, 在内容安全策略中，用于检测弱点的打嗝插件 CSP旁路这是一个that插件，它被设计为被动扫描CSP头，以及它的他潜在的缺陷。 安装 Jython设置下载最新的独立 Jython 2.7. x. jar 文件在 Burp select选择 Extender 然后 O
【工具-DVWA】DVWA渗透系列十三：CSP Bypass
qqchaozai的专栏
10-27 1480
前言 DVWA安装使用介绍，见：【工具-DVWA】DVWA的安装和使用 本渗透系列包含最新DVWA的14个渗透测试样例： 1.Brute Force(暴力破解)2.Command Injection（命令注入）3.CSRF(跨站请求伪造)4.File Inclusion（文件包含）5.File Uploa...
【DVWA系列】十三、CSP Bypass 绕过浏览器的安全策略（源码分析&漏洞利用）
Pluto.的博客
03-13 975
文章目录DVWACSP Bypass 绕过浏览器的安全策略一、Low 级别二、Medium 级别三、High 级别四、Impossible 级别 DVWA CSP Bypass 绕过浏览器的安全策略 什么是CSP？ CSP即Content-Security-Policy，是指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。翻译为中文就是内容安全策略。是为了缓解潜在的跨站脚本问题（XSS），浏览器的扩展程序系统引入了内容安全策略这个概念，原来应对XSS攻击时，主要采用函数过
bypass csp学习
dengzhasong7076的博客
11-27 212
csp学习 环境测试： 2016年11月27日。 chrome 版本 54.0.2840.98 (64-bit) firefox 版本 50.0 csp csp是为了缓解一些攻击，比如xss、csrf。 以白名单的机制对网站加载或执行的资源起作用，通过 HTTP 头信息或者 meta 元素定义 这样就导致xss失效。 更多基础知识可以看看这篇文章： http://lorexxar.cn...
DVWA指点迷津-CSP Bypass
肉肉球麻里的博客
10-26 368
CSP 介绍 内容安全策略，实质上是白名单策略，通过限定允许加载哪些外部资源而保证网站的安全性。 CSP规定的指令： CSP规定的值 在实际使用中，CSP策略在Content-Security-Policy HTTP响应头或元素meta标签中提供。 例如： <meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-
DVWA-master.zip
01-04
DVWA-master.zip
DVWA-master.7z 压缩包
09-14
下载到本地，解压缩之后，重命名为DVWA，并将其放在PHPstudy的WWW目录下
DVWA------（CSP) Bypass
m0_65712192的博客
12-13 666
DVWA------（CSP) Bypass
[网络安全] DVWA之Content Security Policy (CSP) Bypass 攻击姿势及解题详析合集
等风来
06-16 3330
以上为DVWA之Content Security Policy (CSP) Bypass 攻击姿势及解题详析合集，结合PHP代码审计及Http相关知识考察CSP渗透姿势。我是秋说，我们下次见。
实验：DVWA-CSP Bypass（CSP绕过）
Cwillchris的博客
10-31 1269
实验环境： DVWA靶机：172.16.12.10 靶场用户名：admin 密码：123 windos攻击机：172.16.12.7 kali攻击机：172.16.12.30 实验步骤： Content-Security-Policy是指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。翻译为中文就是绕过内容安全策略。是为了缓解潜在的跨站脚本问题（XSS），浏览器的扩展程序系统引入了内容安全策略这个概念。原来应对XSS攻击时，主要采用函数过滤、转义输入中的特殊字符、
DVWA —— Content Security Policy (CSP 内容安全策略) Bypass
YouTheFreedom的博客
05-26 916
CSP全称是: Content-Security-Policy, 内容安全策略。 是指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。主要是为了缓解潜在的跨站脚本问题(XSS)，浏览器的扩展程序系统引入了内容安全策略这个概念。原来应对XSS攻时，主要采用函数过滤转义输入中的特殊字符、标签、文本来规避攻击。CSP的实质就是白名单制度，开发人员明确告诉客户端，哪些外部资源可以加载和执行。开发者只需要提供配置，实现和执行全部由浏览器完成。
DVWA-内容安全策略绕过
weixin_58954236的博客
10-08 136
​ 内容安全策略（Content Security Policy，简称CSP）是一种以可信白名单作机制，来限制网站是否可以包含某些来源内容，缓解广泛的内容注入漏洞，是一种用于增强网页的安全性的安全策略机制。它可以帮助网站管理员减轻跨站脚本攻击（XSS）和数据注入等攻击的风险。CSP 工作原理是通过定义和实施一组安全策略规则，限制网页中可以加载和执行的内容源和类型。​ 然而，CSP 可能会存在绕过（bypass）的风险，这通常被称为 CSP Bypass。
DVWA 之 CSP Bypass
RexHa的博客
10-09 514
dvwa CSP绕过
dvwa csp bypass
yuysjx的博客
02-13 184
csp
DVWA Content Security Policy (CSP) Bypass
最新发布
2201_75843485的博客
10-28 130
是一种Web安全标准，旨在减轻跨站脚本（XSS）等Web应用程序安全漏洞的风险。：CSP是一种安全政策，它是一组规则，指定哪些资源可以加载到Web页面中。这些规则以HTTP标头的形式发送到浏览器，浏览器根据这些规则来限制哪些内容可以被执行或加载。：CSP允许网站管理员明确定义哪些域名上的资源可以被加载和执行，包括JavaScript、样式表、图片、字体等。：CSP的主要目标是减轻XSS攻击风险。它通过限制执行恶意脚本的能力，帮助防止XSS攻击的成功。
DVWA上CSP Bypass(内容安全策略绕道)全难度
m0_74456293的博客
01-30 202
DVWA上CSP Bypass(内容安全策略绕道)全难度
DVWA之CSP Bypass
weixin_42075643的博客
02-22 2597
CSP（Content Security Policy）：即内容安全策略。点击这里有详细的介绍。 不过简单了解下就是指：开发者在开发过程中设置了一个类似于白名单的策略，要信任某个页面，哪些外部资源可以执行，哪些不可以，这可以从根本上防御XSS，如果CSP配置的好，可以从根本上杜绝XSS（关于XSS的文章可以点击这里） 今天就是通过DVWA来详细由浅入深学习如何绕过CSP（CSP Bypass）吧！ low level 首先查看源码： $headerCSP = "Content-Security-Policy
DVWA学习之CSP Bypass（Content-Security-Policy Bypass ）
weixin_40950781的博客
08-22 808
DVWA学习之CSP Bypass（Content-Security-Policy）CSP（Content-Security-Policy） Bypass绕过内容安全策略0x01 CSP（Content-Security-Policy）0x02 CSP启动方式0x03 low级别0x04 medium级别0x05 high级别0x06 high级别 CSP（Content-Security-Pol...
DVWA靶场通关-CSP
qq_43381463的博客
02-13 220
DVWA靶场通关-CSP
dvwa-master zip
07-28
dvwa-master zip是一个开源的漏洞脆弱性应用程序，用于进行网络安全测试和漏洞扫描。 具体而言，dvwa-master zip是一个基于PHP和MySQL开发的靶场平台，旨在帮助用户了解和学习网络安全漏洞。它模拟了多种常见的Web...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值