सामग्री सुरक्षा नीति, बुराई के लिए

CSP वेबसाइटों की सुरक्षा के लिए ऐसा एक विशेष शीर्ष लेख है।

CSP किसी भी संसाधन को लोड करने पर रोक लगाता है अगर उन्हें हेडर में पूर्व-अनुमोदित नहीं किया गया है, अर्थात, XSS के खिलाफ उत्कृष्ट सुरक्षा। हमलावर तृतीय-पक्ष स्क्रिप्ट डाउनलोड करने में सक्षम नहीं होगा, इनलाइन स्क्रिप्ट भी अक्षम हैं ...

ब्राउज़र स्तर पर, आप केवल विशिष्ट URL को डाउनलोड करने की अनुमति दे सकते हैं, जबकि अन्य निषिद्ध होंगे। इस तंत्र के लाभ के अलावा, यह नुकसान पहुंचा सकता है - आखिरकार, अवरुद्ध करने का तथ्य पता लगा रहा है! यह केवल यह जानने के लिए रहता है कि इसे कैसे लागू किया जाए।

function does_redirect(url, cb){ var allowed = url.split('?')[0]; var frame = document.getElementById('playground'); window.cb = cb; window.tm = setTimeout(function(){ window.cb(false); },3000); frame.src = 'data:text/html,<meta http-equiv="Content-Security-Policy" content="img-src '+allowed+';"><img src="'+url+'" onerror=parent.postMessage(1,"*") onload=parent.postMessage(2,"*")>' } 

हम यह पता लगा सकते हैं कि क्या कोई विशिष्ट URL दूसरे पर पुनर्निर्देशित करता है, और कुछ मामलों में उदाहरण के लिए 1 से एक लाख तक के विशिष्ट URL की गणना भी करता है (अधिक समय लगेगा)

डेमो पृष्ठ का प्रयास करें।

इस बग के बारे में सबसे अच्छी बात यह है कि यह "सही ढंग से" तय नहीं किया जा सकता है। यह पता लगाने पर आधारित है कि संसाधन लोड किया गया है या नहीं, और सीएसपी कार्य संसाधन को अवरुद्ध करना है, जो इसे लोड होने से रोकता है। एकमात्र समाधान जो मैं देख रहा हूं, वह ऑनलोड घटनाओं का "अनुकरण" है, आप डेटा को पुनर्निर्देशित करने की कोशिश कर सकते हैं: URL, जैसा कि XSS ऑडिटर में एक समान बग के साथ किया गया था (वैसे, एक दिलचस्प बग, और अभी भी तय नहीं है)।

फिलहाल, कोई सुरक्षा नहीं पेश की गई है, जिसका अर्थ है कि लंबे समय तक हम कई संसाधनों पर उपयोगकर्ता आईडी का पता लगाने में सक्षम होंगे और चाहे वह कोई व्यक्ति हो। फ़ायरफ़ॉक्स, सफारी और क्रोम में काम करता है, IE में समर्थन बहुत सीमित है लेकिन वे इसे जल्द ही ठीक कर देंगे।