CSP bypass: self + 'unsafe-inline' with Iframes
Aşağıdaki gibi bir yapı:
Herhangi bir kodu bir dize olarak ileten işlevlerin kullanımını yasaklar. Örneğin: eval, setTimeout, setInterval
ayarı unsafe-eval
nedeniyle engellenecektir.
Ayrıca, dış kaynaklardan gelen herhangi bir içerik de engellenir; bu, resimler, CSS, WebSocket'ler ve özellikle JS'yi içerir.
Metin ve Resimler Üzerinden
Modern tarayıcıların, görüntüleri ve metinleri görüntüleme kalitesini artırmak için HTML'ye dönüştürdüğü gözlemlenmiştir (örneğin, arka plan ayarları, ortalama vb.). Sonuç olarak, favicon.ico
veya robots.txt
gibi bir resim veya metin dosyası bir iframe
aracılığıyla açıldığında, HTML olarak işlenir. Özellikle, bu sayfaların genellikle CSP başlıkları yoktur ve X-Frame-Options içermeyebilir, bu da onlardan rastgele JavaScript'in çalıştırılmasına olanak tanır:
Hatalar Üzerinden
Benzer şekilde, metin dosyaları veya resimler gibi hata yanıtları genellikle CSP başlıkları olmadan gelir ve X-Frame-Options'ı atlayabilir. Hatalar bir iframe içinde yüklenmesi sağlanarak aşağıdaki eylemler gerçekleştirilebilir:
Belirtilen senaryolardan herhangi birini tetikledikten sonra, iframe içindeki JavaScript'in çalıştırılması aşağıdaki gibi mümkündür:
Referanslar
Last updated