CSP(内容安全策略)防运营商劫持

最新推荐文章于 2024-08-08 16:55:45 发布

Justin0223

最新推荐文章于 2024-08-08 16:55:45 发布

阅读量3.6k

点赞数

分类专栏：前端安全 ECMAScript

原文链接：https://juejin.im/post/5bdbe90c51882516de76a422

版权

ECMAScript 同时被 2 个专栏收录

15 篇文章 0 订阅

订阅专栏

前端安全

3 篇文章 0 订阅

订阅专栏

（一）前言
CSP英文全称Content Security Policy，中文意思是 内容安全策略。
CSP以白名单的机制对网站加载或执行的资源起作用，在网页中，这样的策略通过 HTTP 头信息或者 meta 元素定义。用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件。

（二）CSP的应用
可以分为前端和后端配置

前端配置
在 HTML 的 Head 中添加 Meta 标签

<meta http-equiv="Content-Security-Policy" content="script-src 'nonce-shendun' zeptojs.com; object-src 'none';">

<!DOCTYPE html>
<html>
<head>
  <script>
    console.log('发生劫持，初始化就直接置顶的流氓行为，CSP也无法防御，但可以通过埋点记录LOG，通知工信部处理！!');
  </script>
  <meta charset="utf-8" />
  <meta http-equiv="Content-Security-Policy" content="script-src 'nonce-shendun' zeptojs.com; object-src 'none';">
  <title>CSP测试</title>
  <script>
    console.log('来劫持你了.... 但被阻止了，未能发生有效劫持！');
  </script
  <!-- 安全标签 -->
  <script nonce=shendun>
    console.log('设置了nonce，其值与受信任来源列表中的值相匹配 ，此处有效！！');
  </script>
</head>
<body>
  <div>CSP测试</div>
  <!-- zeptojs.com 加入了白名单 -->
  <script src="http://zeptojs.com/zepto.min.js"></script>
  <!-- 未加入白名单，被拦截 -->
  <script src="https://mt.cnzz.com/js/hdpi_canvas.js"></script>
</body>
</html>

这种方式除了头部的注入型劫持未被拦截以外，其他 script 劫持均被拦截。需要特别注意的是这段代码中的 nonce-shendun ，这里可以理解为 script 的安全属性，nonce- 是CSP提供的参数，shendun 这个名字是自定义的（官方推荐这里填随机数）。

后端配置
以 Nginx 为例，配置 Sever 文件，添加如下代码:

server {
    ...
    add_header Content-Security-Policy "default-src *; script-src 'self' 'nonce-shendun' baidu.com *.baidu.com;";
    ...

源列表中也接受了四个关键字：

‘none’ 你可能会期望，什么也没有。
‘self’ 匹配当前来源，但不匹配其子域。
‘unsafe-inline’ 允许内联JavaScript和CSS （很多劫持是script直接注入，所以这里不推荐这么配置）
‘unsafe-eval’ 允许文本到JavaScript的机制eval。

API链接导航

（三）总结
CSP不是万能的，但是如果搭配script、iframe注入型防运营商劫持，可以为网站增加更多防护。

至于XSS攻击，可以参考下面文章
前端安全系列（一）：如何防止XSS攻击

Justin0223

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
CSP(内容安全策略)防运营商劫持

（一）前言 CSP英文全称Content Security Policy，中文意思是 **内容安全策略**。CSP以白名单的机制对网站加载或执行的资源起作用，在网页中，这样的策略通过 HTTP 头信息或者 meta 元素定义。用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件。
复制链接

扫一扫

专栏目录