最近在玩 alert(1) 的 XSS 小遊戲，藉此紀錄一下每關的思路及解法 (建議先自己玩過之後再看這篇，免得被我雷到 XD) XSS 的危險性就不特別解釋了 輕則可以注入挖礦程式，重則被盜用個人資料 以下有每關的解法及答案，防雷 ～ Warmup (第一關)相當單純的沒做任何輸入過濾，可以直接湊出 “) 即可 Adobe (第二關)多了 ” 取代為 \” 的處理，那就多放個 \ 囉 XD JSON (第三關)完全用 JSON.stringify 做字元過濾，少了 <, >, / 這些的過濾 Markdown (第四關)常見的 markdown 轉為 HTML 的取代方式，看起來突破口不是 a 就是 img，嘗試使用 onerror 接口突破 DOM (第五關) 看了很久，找到最有可能的為 createComment 這個接口，配合 > 塞上 img 即可 Callback (第六關)明顯的第一個參數是不擋 […]
X-XSS-Protection 是一個在早期瀏覽器並不支援 CSP 時，IE 所開發出預防 XSS 攻擊的 header，後來 chrome 與 sarfari 等瀏覽器也開始支援。(不過目前瀏覽器幾乎都支援 CSP 1.0 了，根本上還是設定 CSP (Content-Seciruty-Policy) 較安全。 畢竟這個 header 偵測 XSS 攻擊有一套過濾的方法 (IE 預設開啟)，僅有限程度的防範，並不完全可以防止 XSS。 目前支援度為下圖，有部分瀏覽器(如：firefox)並不支援。 這邊簡單介紹用法，通常我們會在支援早期(如：ie8)瀏覽器時設置，其餘則設定 CSP 會更有效的防止 XSS 開啟 XSS filter 過濾，當偵測到 XSS ，阻擋頁面載入。 <?php header(“X-XSS-Protection: 1; mode=block”); ?> 開啟 XSS filter 過濾，當偵測到 XSS ，過濾此資源載入。 <?php header(“X-XSS-Protection: 1;”); ?> 關閉 XSS filter 過濾 […]
Content-Security-Policy 為瀏覽器目前所實作的一個標準， 主要是用在防禦 XSS 攻擊的標準．((當然不可能完全防禦… 簡單解釋：利用 http header 去定義在 html 限制載入的跨站 script （例如 img-src, script-src…等可以載入外部資源的標籤)． Content-Security-Policy 普及的標準為 1.0 版本 Content-Security-Policy level2 (增加了進階的 inline script 執行限制，child-src…等等，請參考MDN介紹) Content-Security-Policy level3: 撰寫本文時還在草案中… 以下將 Content-Security-Policy 簡稱 CSP 接下來簡單介紹 CSP 1.0 的幾個常見用法 比如我們可以新增一個 test.php 檔案加上標頭(這邊是為了 demo 方便，通常是會設在 webserver 上) header(“Content-Security-Policy: default-src ‘self'”); print “<h1>CSP demo</h1> <script src=’https://code.jquery.com/jquery-3.2.1.slim.min.js’></script> <iframe src=’https://www.w3schools.com’></iframe> <img src=’https://www.w3schools.com/tags/smiley.gif’> <script>alert(‘test’);</script>”; 試著執行看看： 打開 F12 […]