DVWA-CSP绕过内容安全策略

最新推荐文章于 2024-09-20 22:35:03 发布
最新推荐文章于 2024-09-20 22:35:03 发布
阅读量531 收藏
点赞数
分类专栏： DVWA 文章标签： dvwa csp 渗透测试 web
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chenzzhenguo/article/details/108788949
版权
本文详细介绍了DVWA中的CSP（内容安全策略）绕过，从Low到Impossible四个等级，探讨了CSP的原理及其在不同等级下的漏洞利用方法，包括利用pastebin进行Low等级的攻击，medium等级的nonce-source特性，以及High等级中script-src 'self'策略的挑战和解决方案。
摘要由CSDN通过智能技术生成

文章目录

CSP

  • 指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。
  • CSP的实质就是白名单制度，开发人员明确告诉客户端，哪些外部资源可以加载和执行。开发者只需要提供配置，实现和执行全部由浏览器完成。

启用CSP

  • 通过HTTP相应头信息的Content-Security-Policy字段
  • 通过网页标签

说明

  • script-src脚本：只信任当前域名
  • object-src：不信任任何URL，即不加载任何资源
  • style-src样式表：只信任http://cdn.example.org和http://third-party.org

一、Low等级

1、漏洞分析

$headerCSP = "Content-Security-Policy: script-src 'self' https://pastebin.com  example.com code.jquery.com https://ssl.google-analytics.com ;"; // allows js from self, pastebin.com, jquery and google analytics.
  • 允许访问pastebin

2、漏洞利用

  • 我们在pastebin网站上࿰
最低0.47元/天 解锁文章
原味瓜子、
关注
专栏目录
DVWA—内容安全策略绕过（CSP Bypass）
qq_54537919的博客
06-27 1091
DVWA—内容安全策略绕过（CSP Bypass）
2019-3-9 dvwa学习(11)--Content Security Policy (CSP) Bypass绕过内容（网页）安全策略
weixin_42555985的博客
03-10 3119
Content Security Policy(CSP)，内容（网页）安全策略，为了缓解潜在的跨站脚本问题(XSS攻击)，浏览器的扩展程序系统引入了内容安全策略（CSP）这个概念。具体内容可以参见《Content Security Policy 入门教程》 在先前的XSS攻击介绍中，主要都是利用函数过滤/转义输入中的特殊字符，标签，文本来应对攻击。CSP则是另外一种常用的应对XSS攻击的策略。 C...
CSP策略及绕过方法
Assassin
06-26 9996
XSS的时候经常要绕过CSP，通过网上的资料进行学习CSP策略一个CSP头由多组CSP策略组成，中间由分号分隔，就像这样：Content-Security-Policy: default-src 'self' www.baidu.com; script-src 'unsafe-inline' 其中每一组策略包含一个策略指令和一个内容源列表一、常用的策略指令：default-srcdefault-sr
web基础—dvwa靶场（十一）CSP Bypass
最新发布
m0_74080781的博客
09-20 1366
为了缓解很大一部分潜在的跨站脚本(XSS) 问题，浏览器的扩展程序系统引入了内容安全策略（CSP）的一般概念。也就是说源码对 HTTP 头定义了 CSP 标签，从而定义了可以接受外部 JavaScript 资源的白名单，通过抓包也可以知道是哪些网站。pastebin 是个快速分享文本内容的网站，假如文本的内容是一段 JavaScript 代码，网页就会把该代码包含进来。这个级别是 high 级别的加强，JSONP 调用的回调函数是硬编码的，CSP 策略被锁定为只允许外部脚本。
一步一步学习DVWA渗透测试（CSP Bypass绕过内容安全策略）-第十二次课
manok的专栏
02-29 1277
小伙伴们，今天我们继续学习。 Content-Security-Policy是指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。翻译为中文就是绕过内容安全策略。是为了缓解潜在的跨站脚本问题（XSS），浏览器的扩展程序系统引入了内容安全策略这个概念。原来应对XSS攻击时，主要采用函数过滤、转义输入中的特殊字符、标签、文本来规避攻击。CSP的实质就是白名单制度，开发...
DVWA之内容安全策略（CSP）
qq_39682037的博客
03-23 2284
内容安全策略（CSP） 使服务器管理员可以通过指定浏览器应认为是可执行脚本的有效源的域来减少或消除XSS可能发生的向量。然后，兼容CSP的浏览器将仅执行从这些允许列出的域接收的源文件中加载的脚本，忽略所有其他脚本（包括内联脚本和事件处理HTML属性）。 Security Level: low 源码 <?php $headerCSP = "Content-Security-Policy...
DVWA13_Content Security Policy (CSP) Bypass(内容安全策略绕过)
weixin_44193247的博客
03-12 520
DVWA漏洞复现练习篇
CSP绕过
weixin_42478365的博客
05-10 3195
01 比赛中常见的绕过CSP 目前在比赛中常见的绕过 CSP 一般是: script-src 'self' 'unsafe-inline' script-src 'self' 'unsafe-eval' script-src 'nonce-*' xx-src self script-src ‘self’ 代表着只能加载符合同源策略的文件，直接插入至 html 页面中的静态 script 标签将无法执行。结合其他 CSP 来看，常用的 iframe，object 等标签也是无法被绕过的。 下面分别分析
DVWA靶机通关记-medium
qq_35258210的博客
01-26 529
"""本人网安小白，此贴仅作为记录我个人测试的思路、总结以便后期复习；今后本着少就是多，慢就是快的方式一步一个脚印进行学习，把这个知识点学扎实了，再学另外一个知识点。费曼教授是不是曾经说过以教代学是最好的学习方式？有很多错点可圈可指，所以也请dalao指出不对的地方，所谓教他人的时候也是在稳固自身""" 未做严格排版，后面有时间了再来整理整理 目录 1、暴力破解 2、远程系统命令执行 3、CSRF跨站请求伪造 4、文件包含 5、文件上传 7、sql注入 8、sql盲注 10、XSS(DO
DVWA 共12关通关笔记
09-12
最后，逻辑漏洞可能允许攻击者通过不寻常的用户行为绕过安全机制。识别并修复这类漏洞通常需要深入理解应用程序的业务流程。 以上就是DVWA的12个关卡所涵盖的安全知识点，每个关卡都提供了实战练习，帮助开发者和...
dvwa-内容安全策略绕道
qq_74806534的博客
02-13 147
CSP(Content Security Policy，内容安全策略）是一种用来防止XSS攻击的手段，通过在头部Content-Security-Policy 的相关参数，来限制未知（不信任）来源的JavaScript脚本的执行，从而达到防止xss攻击的目的。一般的xss攻击，主要是通过利用函数过滤/转义输入中的特殊字符，标签，文本来应对攻击。CSP则是另外一种常用的应对XSS攻击的策略。其实质就是白名单机制，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。
dvwa靶场 Content Security Policy (CSP) Bypass(CSP绕过)全难度教程（附代码分析）
m0_73248913的博客
05-14 1119
Content Security Policy（内容安全策略），用于定义脚本和其他资源从何处加载或者执行，总结的来说就时白名单。会一定程度的缓解xss脚本问题，也可以自己设定规则，管理网站允许加载的内容。CSP 以的机制对网站加载或执行的资源起作用，在网页中策略通过 HTTP 头信息或者 meta 元素定义。CSP 虽然提供了强大的安全保护，但是它也令 eval() 及相关函数被禁用、内嵌的 JavaScript 代码将不会执行、只能通过白名单来加载远程脚本。
使用 Wave 文件绕过 CSP 策略
hhhsan的博客
05-22 791
转载自：https://mp.weixin.qq.com/s/ljBB5jStB7fcJq4cgdWnnw 本文作者：梅子酒（来自信安之路学生渗透小组）赠送书籍：《Android应用安全防护和逆向分析》活动地址：信安之路五月送书活动CSP IntroductionCSP 全称 Content Security Policy，即内容安全策略。CSP 是一个额外的安全层，用于检测并削弱某些特定...
DVWA 靶场 CSP Bypass 通关解析
Flag少侠的博客
06-22 7835
内容安全策略（Content Security Policy，CSP）是一种用于防止跨站脚本（XSS）和其他代码注入攻击的安全机制。通过设定 CSP 头，网站可以指定哪些资源可以加载和执行。然而，即使有 CSP，攻击者有时仍然能找到方法绕过这些策略进行攻击。以下是对 CSP 绕过（CSP Bypass）的详细介绍，包括其原理、常见技术、攻击手法、防御措施以及实例分析。一、CSP 绕过原理CSP 绕过的核心在于找到策略配置中的漏洞或利用其他技术手段，使恶意代码能够在受保护的网站上执行。策略配置错误。
DVWA上CSP Bypass(内容安全策略绕道)全难度
m0_74456293的博客
01-30 232
DVWA上CSP Bypass(内容安全策略绕道)全难度
详细了解CSP绕过
2301_79323180的博客
04-28 2236
CSP（Content Security Policy）即内容安全策略，为了缓解很大一部分潜在的跨站脚本问题，浏览器的扩展程序系统引入了内容安全策略（CSP）的一般概念。这将引入一些相当严格的策略，会使扩展程序在默认情况下更加安全，开发者可以创建并强制应用一些规则，管理网站允许加载的内容。CSP的实质就是白名单机制，对网站加载或执行的资源进行安全策略的控制。
DVWA 黑客攻防实战（十五） 绕过内容安全策略 Content Security Policy (CSP) Bypass
weixin_30900589的博客
01-03 385
看到标题，是否有点疑惑 CPS 是什么东东。简单介绍一下就是浏览器的安全策略，如果 标签，或者是服务器中返回 HTTP 头中有 Content-Security-Policy 标签 ，浏览器会根据标签里面的内容，判断哪些资源可以加载或执行。阮一峰老师也有关于CSP 的文章，大家可以看看 看回 DVWA。DVWA 中需求也是很简单的，输入被信任的资源，就能加载或执行资源了。 初级 初级篇，如果不...
CSP浅析与绕过
dzqxwzoe的博客
01-09 2048
CSP（Content Security Policy，内容安全策略），是网页应用中常见的一种安全保护机制，它实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，哪些不可以。
掌握Web安全的DVWA-master安装与应用
资源摘要信息: "DVWA-master安装包" DVWA（Damn Vulnerable Web Application）是一个开源的web应用程序，被广泛用于安全研究和教学领域，特别是在学习和测试web应用程序安全方面。DVWA设计用来模拟一个容易受到攻击...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值