每日一博 | CSP 浅析与绕过
XSS是最常见、危害最大的网页安全漏洞，想要抵御它们，要采取非常多编程措施，非常麻烦。那么，有没有可以从根本上解决问题，浏览器自动禁止外部注入恶意脚本的方法呢？CSP应运而生。 本文涉及相关实验：XSS进阶之CSP绕过 （实验介绍了CSP防御机制的基本原理，利用script gadget绕过CSP，进而实施XSS攻击，并对攻击原理和过程进行分析。） 什么是CSP CSP（Content Security Policy，内容安全策略），是网页应用中常见的一种安全保护机制，它实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，哪些不可以 CSP如何工作 通过响应包头（Response Header）实现： Content-Security-policy: default-src 'self'; script-src 'self' allowed.com; img-src 'self' allowed.com; style-src 'self'; 通过HTML 元标签实现： <meta http-equiv="Content-Security-Policy" cont...
