DVWA-CSP Bypass详解

最新推荐文章于 2025-03-31 09:33:56 发布

Mr H

最新推荐文章于 2025-03-31 09:33:56 发布

阅读量1.3k

点赞数 3

CC 4.0 BY-SA版权

分类专栏： DVWA靶场 CSP 文章标签：安全

本文链接：https://blog.csdn.net/Mr_helloword/article/details/107827088

CSP Bypass靶场练习

CSP简介

CSP全称是: Content-Security-Policy, 内容安全策略。
是指HTTP返回报文头中的标签,浏览器会根据标签中的内容，判断哪些资源可以加载或执行。主要是为了缓解潜在的跨站脚本问题(XSS),浏览器的扩展程序系统引入了内容安全策略这个概念。原来应对XSS攻时，主要采用函数过滤转义输入中的特殊字符、标签、文本来规避攻击。CSP的实质就是白名单制度，开发人员明确告诉客户端，哪些外部资源可以加载和执行。开发者只需要提供配置，实现和执行全部由浏览器完成。

  简单说就是应运程序为了防止XSS而在前端制定的安全策略（就是添加一些标签），告诉浏览器哪些资源可以加载访问

低级

查看源代码：

 <?php

$headerCSP = "Content-Security-Policy: script-src 'self' https://pastebin.com  example.com code.jquery.com https://ssl.google-analytics.com ;"; 
// allows js from self, pastebin.com, jquery and google analytics.定义了CSP 标签，‘self’指可以访问的网址，网址白名单

header($headerCSP);

# https://pastebin.com/raw/R570EE00         
?>
<?php
if (isset ($_POST['include'])) {
   
$page[ 'body' ] .= "
    <script src='" . $_POST['include'] . "'></script>
";
}
$page[ 'body' ] .= '
<form name="csp" method="POST">
    <p>You can include scripts from external sources, examine the Content Security Policy and enter a URL to include here:</p>
    <input size="50" type="text" name="include" value="" id="include"</

最低0.47元/天解锁文章