DVWA-CSP绕过内容安全策略

原味瓜子、

于 2020-09-25 09:31:04 发布

阅读量548

点赞数

分类专栏： DVWA 文章标签： dvwa csp 渗透测试 web

本文链接：https://blog.youkuaiyun.com/chenzzhenguo/article/details/108788949

版权

本文详细介绍了DVWA中的CSP（内容安全策略）绕过，从Low到Impossible四个等级，探讨了CSP的原理及其在不同等级下的漏洞利用方法，包括利用pastebin进行Low等级的攻击，medium等级的nonce-source特性，以及High等级中script-src 'self'策略的挑战和解决方案。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

文章目录

CSP

指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。
CSP的实质就是白名单制度，开发人员明确告诉客户端，哪些外部资源可以加载和执行。开发者只需要提供配置，实现和执行全部由浏览器完成。

启用CSP

通过HTTP相应头信息的Content-Security-Policy字段
通过网页标签

说明

script-src脚本：只信任当前域名
object-src：不信任任何URL，即不加载任何资源
style-src样式表：只信任http://cdn.example.org和http://third-party.org

一、Low等级

1、漏洞分析

$headerCSP = "Content-Security-Policy: script-src 'self' https://pastebin.com  example.com code.jquery.com https://ssl.google-analytics.com ;"; // allows js from self, pastebin.com, jquery and google analytics.