[[182419]]

發(fā)展壯大離不開(kāi)廣大客戶長(zhǎng)期以來(lái)的信賴與支持，我們將始終秉承“誠(chéng)信為本、服務(wù)至上”的服務(wù)理念，堅(jiān)持“二合一”的優(yōu)良服務(wù)模式，真誠(chéng)服務(wù)每家企業(yè)，認(rèn)真做好每個(gè)細(xì)節(jié)，不斷完善自我，成就企業(yè)，實(shí)現(xiàn)共贏。行業(yè)涉及成都崗?fù)?/a>等，在重慶網(wǎng)站建設(shè)公司、營(yíng)銷型網(wǎng)站、WAP手機(jī)網(wǎng)站、VI設(shè)計(jì)、軟件開(kāi)發(fā)等項(xiàng)目上具有豐富的設(shè)計(jì)經(jīng)驗(yàn)。

前言

我們知道，CSP不會(huì)阻止 這樣的標(biāo)簽。因此，對(duì)于含有XSS漏洞的頁(yè)面來(lái)說(shuō)，即使提供了CSP保護(hù)，攻擊者仍然可以通過(guò)寫(xiě)入Cookie來(lái)發(fā)動(dòng)攻擊。 下面，我們來(lái)考察一些與Cookie篡改漏洞有關(guān)的例子。

雙重提交Cookie示例

雙重提交cookie是一些應(yīng)用程序和框架用于處理CSRF的技術(shù)。這意味著所有表單都必須包含一個(gè)在cookie中設(shè)置的令牌。 如果在表單中發(fā)送的令牌與cookie中的令牌不同，則請(qǐng)求被丟棄。 這種技術(shù)被OWASP推薦為基于會(huì)話的令牌的替代方案。

在偽代碼中它可能看起來(lái)像這樣：

 
 
 

  
  
  
//User sent the form 
  
  
  
if(isset($_POST['submit'])){ 
  
  
  
         if($_POST['token'] == $_COOKIE['token']){ 
  
  
  
                  //Accept the form 
  
  
  
         }else{ 
  
  
  
                  echo "CSRF ATTACK DETECTED"; 
  
  
  
                  exit(); 
  
  
  
         } 
  
  
  
} 
 
 
 

沒(méi)有CSP的時(shí)候，如果應(yīng)用程序含有XSS漏洞，那么攻擊者就可以使用腳本來(lái)填寫(xiě)并提交他們想要攻擊的任何表單：

使用CSP后，我們就可以(通過(guò)使用隨機(jī)數(shù)或限制內(nèi)聯(lián)腳本)避免這種情況了。然而，攻擊者可以使用以下payload來(lái)實(shí)現(xiàn)同樣的事情：

然后，在攻擊者的網(wǎng)站上：

 
 
 

  
  
  
 
  
  
  
' onload="submitForm()"> 
  
  
  
 
  
  
  
 
  
  
  
 
  
  
  
 
 
 
 

 

 

 

 

因?yàn)楣粽吣軌蚋膶?xiě)令牌，所以他們可以在其頁(yè)面上的表單中使用新令牌，從而繞過(guò)CSRF保護(hù)措施。

雙會(huì)話示例

現(xiàn)實(shí)中，使用多個(gè)會(huì)話Cookie的應(yīng)用程序是非常少見(jiàn)的。例如，主應(yīng)用程序使用一個(gè)會(huì)話Cookie，而“次應(yīng)用程序”使用另一個(gè)會(huì)話Cookie。

如果攻擊者可以篡改cookie，他們就可以讓受害者在主應(yīng)用程序中使用攻擊者的會(huì)話cookie。這樣的話，就可以讓受害者在主應(yīng)用程序中以攻擊者身份登錄，而在次應(yīng)用程序中以受害者身份登錄。

如果應(yīng)用程序從主應(yīng)用程序提取送貨數(shù)據(jù)，那么受害人在次應(yīng)用程序中購(gòu)買的產(chǎn)品就會(huì)被發(fā)往攻擊者的地址。

子域cookie XSS示例

如果子域中存在cookie XSS漏洞，攻擊者可以使用cookie篡改漏洞來(lái)設(shè)置XSS cookie，然后重定向到易受攻擊的頁(yè)面：

 
 
 

  
  
  
"> 
  
  
  
 
 
 
 

 

結(jié)論

雖然許多客戶端漏洞都可以通過(guò)CSP進(jìn)行緩解，但是Cookie篡改仍然會(huì)導(dǎo)致一些安全問(wèn)題，因?yàn)樗鼘?duì)于這種漏洞根本不起作用。當(dāng)開(kāi)發(fā)使用CSP和cookie的應(yīng)用程序時(shí)，一定要注意各種類型攻擊的不同之處。

文章題目：CSPflaws:cookiefixation
本文路徑：http://uogjgqi.cn/article/dpeddhe.html