DVWA-CSP Bypass

最新推荐文章于 2025-09-13 21:27:00 发布

原创

最新推荐文章于 2025-09-13 21:27:00 发布 · 927 阅读

14 ·

CC 4.0 BY-SA版权

文章标签：

#web安全

CSP 的主要目标是减少和报告 XSS 攻击。XSS 攻击利用了浏览器对于从服务器所获取的内容的信任。恶意脚本在受害者的浏览器中得以运行，因为浏览器信任其内容来源，即使有的时候这些脚本并非来自于它本该来的地方。

CSP 通过指定有效域——即浏览器认可的可执行脚本的有效来源——使服务器管理者有能力减少或消除 XSS 攻击所依赖的载体。一个 CSP 兼容的浏览器将会仅执行从白名单域获取到的脚本文件，忽略所有的其他脚本（包括内联脚本和 HTML 的事件处理属性）。

Low

观察后端代码，设置了CSP规则，只允许加载白名单域名的文件。
本是用https://pastebin.com的，但是我这里一直不弹窗。我就直接在服务器上写了个js文件，因为CSP规则有self，可以加载本身域名的文件的。

<?php

$headerCSP = "Content-Security-Policy: script-src 'self' https://pastebin.com hastebin.com www.toptal.com example.com code.jquery.com https://ssl.google-analytics.com https://digi.ninja ;"; // allows js from self, pastebin.com, hastebin.com, jquery, digi.ninja, and google analytics.

header($headerCSP);

# These might work if you can't create your own for some reason
# https://pastebin.com/raw/R570EE00
# https://www.toptal.com/developers/hastebin/raw/cezaruzeka

?>
<?php
if (isset ($_POST['include'])) {
   
   
$page[ 'body' ] .= "
	<script src='" . $_POST['include'] . "'></script>
";
}·
$page[ 'body' ] .= '
<form name="csp" method="POST">
	<p>You can include scripts from external sources, examine the Content Security Policy and enter a URL to include here:</p>
	<input size="50" type="text" name="include" value="" id="include" />
	<input type="submit" value="Include" />
</form>
<p>
	As Pastebin and Hastebin have stopped working, here are some scripts that may, or may not help.
</p>
<ul>
	<li>https://digi.ninja/dvwa/alert.js</li>
	<li>https://digi.ninja/dvwa/alert.txt</li>
	<li>https://digi.ninja/dvwa/cookie.js</li>
	<li>https://digi.ninja/dvwa/forced_download.js&

最低0.47元/天解锁文章