Content Security Policy (CSP) Bypass
最后更新于
最后更新于
加入HackenProof Discord服务器，与经验丰富的黑客和赏金猎人交流！
黑客见解 参与深入探讨黑客的刺激和挑战的内容
实时黑客新闻 通过实时新闻和见解及时了解快节奏的黑客世界
最新公告 随时了解最新的赏金计划发布和重要平台更新
加入我们的 Discord，立即与顶尖黑客合作！
内容安全策略（CSP）被认为是一种浏览器技术，主要旨在防范跨站脚本（XSS）等攻击。它通过定义和详细说明浏览器可以安全加载资源的路径和来源来发挥作用。这些资源包括各种元素，如图像、框架和JavaScript。例如，策略可能允许从同一域（self）加载和执行资源，包括内联资源和通过eval、setTimeout或setInterval等函数执行字符串代码。
CSP的实施通过响应头或将元素嵌入HTML页面进行。根据此策略，浏览器会主动执行这些规定，并立即阻止任何检测到的违规行为。
通过响应头实施：
通过 meta 标签实现：
CSP可以使用以下标头来强制执行或监控：
Content-Security-Policy：强制执行CSP；浏览器会阻止任何违规行为。
Content-Security-Policy-Report-Only：用于监控；报告违规行为但不阻止它们。在预生产环境中进行测试时非常理想。
CSP限制了加载活动和被动内容的来源，控制诸如内联JavaScript执行和使用eval()等方面。一个示例策略是：
script-src: 允许特定 JavaScript 源，包括 URL、内联脚本以及由事件处理程序或 XSLT 样式表触发的脚本。
default-src: 在特定获取指令缺失时为获取资源设置默认策略。
child-src: 指定 Web Workers 和嵌入式框架内容的允许资源。
connect-src: 限制可以使用 fetch、WebSocket、XMLHttpRequest 等接口加载的 URL。
frame-src: 限制框架的 URL。
frame-ancestors: 指定哪些来源可以嵌入当前页面，适用于 <frame>、<iframe>、<object>、<embed> 和 <applet> 等元素。
img-src: 定义图像的允许来源。
font-src: 指定使用 @font-face 加载的字体的有效来源。
manifest-src: 定义应用清单文件的允许来源。
media-src: 定义加载媒体对象的允许来源。
object-src: 定义 <object>、<embed> 和 <applet> 元素的允许来源。
base-uri: 指定使用 <base> 元素加载的允许 URL。
form-action: 列出表单提交的有效端点。
plugin-types: 限制页面可以调用的 MIME 类型。
upgrade-insecure-requests: 指示浏览器将 HTTP URL 重写为 HTTPS。
sandbox: 应用类似于 <iframe> 的 sandbox 属性的限制。
report-to: 指定违反策略时将发送报告的组。
worker-src: 指定 Worker、SharedWorker 或 ServiceWorker 脚本的有效来源。
prefetch-src: 指定将被获取或预获取的资源的有效来源。
navigate-to: 通过任何方式（a、form、window.location、window.open 等）限制文档可以导航到的 URL。
*: 允许所有 URL，除了具有 data:、blob:、filesystem: 方案的 URL。
'self': 允许从相同域加载。
'data': 允许通过 data 方案加载资源（例如，Base64 编码的图像）。
'none': 阻止从任何来源加载。
'unsafe-eval': 允许使用 eval() 和类似方法，出于安全原因不建议使用。
'unsafe-hashes': 启用特定内联事件处理程序。
'unsafe-inline': 允许使用内联资源，如内联 <script> 或 <style>，出于安全原因不建议使用。
'nonce': 使用加密 nonce（一次性数字）的特定内联脚本的白名单。
如果您有 JS 限制执行，可以通过 doc.defaultView.top.document.querySelector("[nonce]") 在页面内获取已使用的 nonce，然后重用它来加载恶意脚本（如果使用了 strict-dynamic，任何允许的来源都可以加载新来源，因此不需要这样做），例如：
'sha256-<hash>': 使用特定的 sha256 哈希值来允许脚本加载。
'strict-dynamic': 如果已经被 nonce 或哈希值列入白名单，允许从任何来源加载脚本。
'host': 指定特定的主机，如 example.com。
https:: 限制只能加载使用 HTTPS 的 URL。
blob:: 允许从 Blob URL（例如，通过 JavaScript 创建的 Blob URL）加载资源。
filesystem:: 允许从文件系统加载资源。
'report-sample': 在违规报告中包含违规代码的示例（用于调试）。
'strict-origin': 类似于 'self'，但确保源的协议安全级别与文档匹配（只有安全源才能从安全源加载资源）。
'strict-origin-when-cross-origin': 在进行同源请求时发送完整的 URL，但在跨源请求时只发送源。
'unsafe-allow-redirects': 允许加载将立即重定向到另一个资源的资源。不建议使用，因为会降低安全性。
Working payload: "/><script>alert(1);</script>
这个方法不起作用，更多信息请查看这里。
有效的有效载荷：
如果你可以以某种方式使允许的 JS 代码创建一个新的脚本标签在 DOM 中，因为一个允许的脚本正在创建它，新的脚本标签将被允许执行。
有效的有效载荷：
看起来这个方法不再有效
有效的有效载荷：
如果您可以上传一个JS文件，您可以绕过这个CSP：
有效载荷：
然而，服务器很可能正在验证上传的文件，并且只允许您上传特定类型的文件。
此外，即使您可以使用服务器接受的扩展名（如：script.png）在文件中上传JS代码，这也是不够的，因为一些服务器如Apache服务器会根据扩展名选择文件的MIME类型，而像Chrome这样的浏览器将拒绝执行应该是图像的内容中的Javascript代码。"幸运的是"，存在一些错误。例如，从一个CTF中我学到Apache不认识_.wave_扩展名，因此不会使用类似audio/*的MIME类型提供它。
从这里开始，如果您发现了XSS和文件上传，并且设法找到了被误解的扩展名，您可以尝试上传一个带有该扩展名和脚本内容的文件。或者，如果服务器正在检查上传文件的正确格式，可以创建一个多语言混合体（这里有一些多语言混合体示例）。
如果无法注入JS，您仍然可以尝试窃取例如凭据注入一个表单操作（并且可能期望密码管理器自动填充密码）。您可以在此报告中找到一个示例。另外，请注意default-src不包括表单操作。
对于以下一些有效载荷，甚至不需要unsafe-eval。
加载一个有漏洞的 Angular 版本并执行任意的 JS：
window 对象的函数库的有效载荷（查看此文章）：该文章显示您可以从 cdn.cloudflare.com（或任何其他允许的 JS 库存储库）加载所有库，执行每个库中添加的所有函数，并检查哪些库的哪些函数返回 window 对象。
在某些情况下，当应用程序使用用户提供的输入来动态创建 HTML 元素时，如果未正确地对输入进行验证和过滤，攻击者可以通过在类名中注入恶意代码来执行跨站脚本（XSS）攻击。
攻击者提供恶意的类名，其中包含恶意脚本。
应用程序未对输入进行适当验证和过滤，将恶意类名动态添加到 HTML 元素中。
当其他用户查看包含恶意类名的页面时，恶意脚本将被执行，导致 XSS 攻击成功。
如果 userInput 变量未经过滤并包含恶意脚本，攻击者可以通过将恶意脚本注入到 userInput 中来执行 XSS 攻击。
根据这篇 CTF 解密，您可以滥用 https://www.google.com/recaptcha/ 在 CSP 中执行任意 JS 代码，绕过 CSP：
更多来自这篇文章的有效载荷：
以下URL将重定向到 example.com（来自这里）:
可以滥用Google Apps Script在script.google.com内的页面中接收信息。就像在这份报告中所做的那样。
在这种情况下，script-src 被设置为 self 和一个特定的在白名单中的域名，可以通过使用 JSONP 来绕过。JSONP 端点允许使用不安全的回调方法，这使得攻击者可以执行 XSS，有效载荷如下：
JSONBee 包含了用于绕过不同网站的CSP的现成JSONP端点。
如果受信任的端点包含一个开放重定向，那么将会出现相同的漏洞，因为如果初始端点受信任，则重定向也会受信任。
正如在以下帖子中所述，许多第三方域可能会被允许在CSP的某个地方使用，可以被滥用来窃取数据或执行JavaScript代码。其中一些第三方是：
www.facebook.com, *.facebook.com
窃取
Hotjar
*.hotjar.com, ask.hotjar.io
窃取
Jsdelivr
*.jsdelivr.com, cdn.jsdelivr.net
执行
Amazon CloudFront
*.cloudfront.net
窃取, 执行
Amazon AWS
*.amazonaws.com
窃取, 执行
Azure Websites
*.azurewebsites.net, *.azurestaticapps.net
窃取, 执行
Salesforce Heroku
*.herokuapp.com
窃取, 执行
Google Firebase
*.firebaseapp.com
窃取, 执行
如果在目标的CSP中发现任何允许的域名，那么很有可能您可以通过注册第三方服务来绕过CSP，从而窃取数据或执行代码。
例如，如果您发现以下CSP：
Content Security Policy (CSP) is an added layer of security that helps to detect and mitigate certain types of attacks, such as Cross Site Scripting (XSS) and data injection attacks. However, there are ways to bypass CSP protections and execute malicious code on a target website.
Inline Script Execution: By using techniques like dynamic script injection or event handlers, attackers can execute inline scripts even if CSP is in place.
External Script Execution: Attackers can load external scripts from whitelisted domains or CDN to bypass CSP restrictions.
Data URI Bypass: Embedding malicious code within a data URI and executing it can bypass CSP protections.
Unsafe Inline and Eval: Disabling CSP directives like 'unsafe-inline' and 'unsafe-eval' can allow inline scripts and eval() functions to execute.
Meta Tag Bypass: Attackers can inject meta tags to control the behavior of CSP and bypass restrictions.
While CSP is an effective security measure, it is important to be aware of these bypass techniques to ensure comprehensive protection against attacks. Regularly testing and updating CSP policies can help in mitigating the risks associated with CSP bypass vulnerabilities.
你应该能够像以往使用Google Analytics/Google Tag Manager那样，窃取数据。在这种情况下，你可以按照以下一般步骤操作：
在这里创建一个Facebook开发者账户。
创建一个新的“Facebook登录”应用程序，并选择“网站”。
转到“设置 -> 基本信息”并获取你的“应用ID”。
在你想要从中窃取数据的目标网站上，可以通过直接使用Facebook SDK小工具“fbq”通过“customEvent”和数据有效负载来窃取数据。
转到你的应用程序“事件管理器”，并选择你创建的应用程序（请注意，事件管理器可以在类似于此URL的位置找到：https://www.facebook.com/events_manager2/list/pixel/[app-id]/test_events）。
选择“测试事件”选项卡，查看“你的”网站发送的事件。
然后，在受害者端，执行以下代码初始化Facebook跟踪像素，指向攻击者的Facebook开发者账户应用程序ID，并发出一个自定义事件，如下所示：
除了前面提到的重定向绕过路径限制之外，还有一种称为相对路径覆盖（RPO）的技术可用于某些服务器。
例如，如果CSP允许路径https://example.com/scripts/react/，则可以通过以下方式绕过：
浏览器最终将加载https://example.com/scripts/angular/angular.js。
这是因为对于浏览器来说，您正在加载位于https://example.com/scripts/react/下的名为..%2fangular%2fangular.js的文件，这与CSP兼容。
因此，它们将对其进行解码，有效地请求https://example.com/scripts/react/../angular/angular.js，这等同于https://example.com/scripts/angular/angular.js。
通过利用浏览器和服务器之间URL解释的不一致性，可以绕过路径规则。
解决方案是在服务器端不将%2f视为/，确保浏览器和服务器之间的一致解释以避免此问题。
在线示例： https://jsbin.com/werevijewa/edit?html,output
如果缺少base-uri指令，您可以滥用它执行悬挂标记注入。
此外，如果页面使用相对路径加载脚本（如<script src="/js/app.js">）使用Nonce，您可以滥用base tag使其从您自己的服务器加载脚本以实现XSS。
如果易受攻击的页面使用httpS加载，请在base中使用httpS网址。
一种名为内容安全策略（CSP）的特定策略可能会限制JavaScript事件。然而，AngularJS引入了自定义事件作为一种替代方案。在事件中，AngularJS提供了一个名为$event的独特对象，引用了原生浏览器事件对象。这个$event对象可以被利用来规避CSP。值得注意的是，在Chrome中，$event/event对象具有一个path属性，其中包含一个对象数组，涉及事件执行链，其中window对象始终位于最后。这种结构对于沙箱逃逸策略至关重要。
通过将这个数组指向orderBy过滤器，可以对其进行迭代，利用终端元素（window对象）来触发类似alert()的全局函数。下面演示的代码片段阐明了这个过程：
这段代码片段突出了使用ng-focus指令来触发事件，利用$event.path|orderBy来操作path数组，并利用window对象执行alert()函数，从而揭示document.cookie。
在 https://portswigger.net/web-security/cross-site-scripting/cheat-sheet 中查找其他Angular绕过方法
一个在 Angular JS 应用程序中为脚本加载列入白名单的 CSP 策略可以通过调用回调函数和特定的易受攻击类来绕过。有关此技术的更多信息可以在此git 存储库上的详细指南中找到。
有效载荷：
当CSP遇到服务器端重定向时会发生什么？如果重定向导致到达一个不允许的不同源，它仍然会失败。
然而，根据CSP规范4.2.2.3. 路径和重定向中的描述，如果重定向导致到达一个不同路径，它可以绕过原始的限制。
这里有一个例子：
如果CSP设置为https://www.google.com/a/b/c/d，由于考虑了路径，/test和/a/test脚本都将被CSP阻止。
然而，最终的http://localhost:5555/301将在服务器端重定向到https://www.google.com/complete/search?client=chrome&q=123&jsonp=alert(1)//。由于这是一个重定向，路径不被考虑，脚本可以被加载，从而绕过路径限制。
通过这种重定向，即使完全指定了路径，仍将被绕过。
因此，最佳解决方案是确保网站没有任何开放的重定向漏洞，并且在CSP规则中没有可以被利用的域。
阅读此处的方法。
'unsafe-inline' 表示您可以在代码中执行任何脚本（XSS 可以执行代码），img-src * 表示您可以在网页中使用来自任何资源的任何图像。
您可以通过图像传输数据来绕过此 CSP（在这种情况下，XSS 滥用 CSRF，其中一个机器人可访问的页面包含 SQLi，并通过图像提取标志）：
From: https://github.com/ka0labs/ctf-writeups/tree/master/2019/nn9ed/x-oracle
您还可以滥用此配置来加载插入图像内部的JavaScript代码。例如，如果页面允许从Twitter加载图像。您可以制作一个特殊图像，将其上传到Twitter，并滥用“unsafe-inline”来执行一个JS代码（作为常规XSS），该代码将加载图像，从中提取JS并执行它：https://www.secjuice.com/hiding-javascript-in-png-csp-bypass/
Service workers的**importScripts**函数不受CSP限制：
研究： https://portswigger.net/research/bypassing-csp-with-policy-injection
如果您发送的参数被粘贴到策略的声明中，则可以以某种方式更改使其无效的策略。您可以使用以下任何绕过方式之一允许脚本“unsafe-inline”：
因为这个指令会覆盖现有的 script-src 指令。 你可以在这里找到一个例子：http://portswigger-labs.net/edge_csp_injection_xndhfye721/?x=%3Bscript-src-elem+*&y=%3Cscript+src=%22http://subdomain1.portswigger-labs.net/xss/xss.js%22%3E%3C/script%3E
在 Edge 中更简单。如果你可以在 CSP 中添加这个：;_，Edge 将丢弃整个策略。
例子：http://portswigger-labs.net/edge_csp_injection_xndhfye721/?x=;_&y=%3Cscript%3Ealert(1)%3C/script%3E
注意缺少指令 'unsafe-inline'
这次你可以通过一个 <iframe 让受害者加载一个在你控制下的页面通过XSS。这次你将让受害者访问你想要提取信息（CSRF）的页面。你无法访问页面的内容，但如果你可以控制页面加载所需的时间，你就可以提取所需的信息。
这次一个标志将被提取，每当通过 SQLi 正确猜测一个字符时，由于 sleep 函数，响应会花费更多时间。然后，你将能够提取标志：
这种攻击需要一些社会工程学，攻击者说服用户将链接拖放到浏览器的书签工具上。这个书签工具会包含恶意的 JavaScript 代码，当拖放或点击时会在当前网页窗口的上下文中执行，绕过 CSP 并允许窃取敏感信息，比如 cookies 或令牌。
有关更多信息请查看原始报告。
在这个 CTF 解密，通过在允许的 iframe 中注入一个更严格的 CSP 来绕过 CSP，该 CSP 禁止加载特定的 JS 文件，然后通过原型污染或DOM 篡改允许滥用不同的脚本来加载任意脚本。
您可以使用**csp属性限制 iframe 的 CSP**：
在这个CTF解密中，通过HTML注入可以更加限制一个CSP，从而禁用防止CSTI的脚本，因此漏洞变得可利用。 可以使用HTML meta标签使CSP更加严格，内联脚本可以被禁用移除允许它们的入口，并通过sha启用特定的内联脚本：
如果你能够让服务器响应头部 Content-Security-Policy-Report-Only 的值由你控制（可能是因为 CRLF），你可以让它指向你的服务器，如果你用 <script> 包裹你想要泄露的JS内容，并且由于高度可能不允许 unsafe-inline 的CSP，这将触发 CSP 错误，并且包含敏感信息的脚本的一部分将从 Content-Security-Policy-Report-Only 发送到服务器。
例如，查看这个 CTF writeup。
创建一个指向URL的iframe（我们称其为https://example.redirect.com），该URL在CSP中被允许。
然后，该URL重定向到一个未被CSP允许的秘密URL（例如https://usersecret.example2.com）。
通过监听securitypolicyviolation事件，可以捕获blockedURI属性。该属性会显示被阻止的URI的域，从而泄露初始URL重定向到的秘密域。
有趣的是，像Chrome和Firefox这样的浏览器在处理与CSP相关的iframes时有不同的行为，可能会由于未定义的行为导致敏感信息泄露。
另一种技术涉及利用CSP本身来推断秘密子域。这种方法依赖于二分搜索算法，并调整CSP以包含特定的故意被阻止的域。例如，如果秘密子域由未知字符组成，您可以通过修改CSP指令来阻止或允许这些子域，迭代地测试不同的子域。以下是一个显示如何设置CSP以便实现此方法的代码片段：
通过监视 CSP 阻止或允许的请求，可以缩小秘密子域中可能的字符范围，最终揭示完整的 URL。
这两种方法都利用了 CSP 实现和浏览器行为的微妙之处，展示了看似安全的策略如何无意中泄露敏感信息。
技巧来自这里。
加入 HackenProof Discord 服务器，与经验丰富的黑客和赏金猎人交流！
黑客见解 参与深入探讨黑客的刺激和挑战的内容
实时黑客新闻 通过实时新闻和见解及时了解快节奏的黑客世界
最新公告 了解最新的赏金任务发布和重要平台更新
加入我们的 Discord，立即与顶尖黑客合作！
PHP 默认会将响应缓冲到 4096 字节。因此，如果 PHP 显示警告，通过在警告中提供足够的数据，响应将在 CSP 头之前发送，导致头部被忽略。 然后，该技术基本上是通过填充响应缓冲区以显示警告，从而不发送 CSP 头。
灵感来自这篇文章。
从这篇文章看来，通过加载一个错误页面（可能没有 CSP）并重写其内容，可以绕过 CSP 保护。
SOME是一种技术，利用页面端点中的XSS（或高度受限的XSS）来滥用同一源的其他端点。这是通过从攻击者页面加载易受攻击的端点，然后刷新攻击者页面到您想要滥用的同一源中的真实端点来完成的。这样易受攻击的端点可以使用opener对象在有效载荷中访问要滥用的真实端点的DOM。有关更多信息，请查看：
此外，wordpress在/wp-json/wp/v2/users/1?_jsonp=data中有一个JSONP端点，将在输出中反射发送的数据（仅限字母、数字和点）。
攻击者可以滥用该端点对WordPress执行生成SOME攻击，并将其嵌入到<script src=/wp-json/wp/v2/users/1?_jsonp=some_attack></script>中，请注意此脚本将被加载，因为它被'自身'允许。此外，由于WordPress已安装，攻击者可能会通过绕过CSP的易受攻击的回调端点滥用SOME攻击，以赋予用户更多权限，安装新插件...
有关如何执行此攻击的更多信息，请查看https://octagon.net/blog/2022/05/29/bypass-csp-using-wordpress-by-abusing-same-origin-method-execution/
如果存在不允许您与外部服务器交互的严格CSP，您始终可以执行一些操作来泄露信息。
您可以简单地更新位置以将秘密信息发送到攻击者的服务器：
您可以通过注入一个meta标签来进行重定向（这只是一个重定向，不会泄露内容）
为了加快页面加载速度，浏览器会预先将主机名解析为IP地址并缓存以备后用。
您可以通过以下方式指示浏览器预先解析主机名：<link rel="dns-prefetch" href="something.com">
您可以利用这种行为通过DNS请求泄露敏感信息：
另一种方法：
为了避免这种情况发生，服务器可以发送以下HTTP标头：
显然，这种技术在无头浏览器（机器人）中不起作用
在一些页面上，您可以看到WebRTC不检查CSP的connect-src策略。
实际上，您可以使用_DNS请求_来泄露信息。查看以下代码：
另一个选项：
https://csper.io/docs/generating-content-security-policy
加入HackenProof Discord服务器，与经验丰富的黑客和赏金猎人交流！
黑客见解 参与深入探讨黑客行为的刺激和挑战
实时黑客新闻 通过实时新闻和见解了解快节奏的黑客世界
最新公告 了解最新的赏金任务发布和重要平台更新
加入我们的 Discord，立即与顶尖黑客合作！
```html ```
