绕过CSP用悬空的iframe

加雷斯·海斯（Gareth Heyes）

研究员

发布：2022年6月14日，14:00 UTC
更新：2022年6月14日，14:00 UTC

显示iframe屏幕截图从字符串中悬挂

介绍

我们的网beplay体育能用吗络安全学院有一个主题悬空的标记注射- 一种利用受保护地点的技术CSP。但是，当我们来更新Chrome 97时，发生了一些有趣的事情 - 因为我们的一个互动实验室神秘地停止了工作。当我们最初制作该实验室时，Chrome通过寻找原始的空格，然后是“ <”字符来防止基于标记的攻击 - 但忘记了防止背景属性（如Masato Kinugawa）。

不幸的是，从Chrome 97中，这项技术不再起作用，因此我的任务是尝试找到另一种选择。我尝试了许多不同的属性和基于CSS的动画来延迟作业以尝试绕过此保护。他们都失败了 - 似乎力量很强迈克·韦斯特，撰写了这一变化。

我退后一步，分析了CSP：

default-src'self'; object-src'none';style-src'self';Script-Src'self';img-src *;

这看起来是水密的，就在（除了IMG-SRC之外）吗？如果我告诉您您可以删除“ IMG-SRC”指令，但仍然在不单击的情况下仍进行悬空的标记攻击怎么办？让我们看看如何...

跨域iframe问题

首先，我开火了黑客检查员这是一个以安全性的枚举器，我在一段时间后进行了编码，并开始剖析iFrames的内部工作。检查员方便测试多个域的跨域泄漏。我添加了首先在该实例内，我添加了另一个iframe：

</code>
    <p>然后，我从父母那里检查了跨域窗口，并使用以下输入：</p>
    <code>X.ContentWindow</code>
    <p>令我惊讶的是，检查员将iframe的名称显示为“测试”  - 这里发生了什么？好吧，检查员尝试了一些已知的属性 - 其中之一是“测试”。但这意味着跨域iframe可以发现iframe名称属性。我做了一些测试，看来您无法列举框架名称的iframe，但是您可以使用TypeOf来确定该名称是否存在。例如，您可以在任何跨域iframe的名称属性上询问是/否问题：</p>
    <code>if（typeof x.contentwindow.mywinname ==='对象'）{<br>//存在窗口名称<br>} 别的 {<br>//窗口名称不存在<br>}</code>
    <p>这很好，但并没有真正帮助我绕过CSP。试图蛮力a是没有用的<a href="//www.muteki-anime.com/web-security/csrf/tokens">CSRF令牌</a>问是 /否问题。检查跨域iframe的各种属性，我尝试更改值 - 将iframe的位置更改为：空白。令我惊讶的是，即使这是跨域，Chrome也允许它：</p>
    <code>X.ContentWindow [0] .Location ='of：blank'</code>
    <p>不仅如此，而且整个窗口都可以枚举<code>位置。屈服者</code>- 泄漏了外部域。但是我真正感兴趣的是窗口。名称以及是否可以阅读。果然，窗口名称是可读且可写的 - 您甚至可以执行JavaScript，无论父母页面的CSP如何。似乎发生的事情是，当您将其分配给大约：空白的iframe所有权更改为设置它的域。</p>
    <p>最后，这是解决实验室的利用：</p>
    <code><script><br>功能CSPBYPASS（win）{<br>赢[0] .location ='of：blank';<br>settimeout（（）=> alert（win [0] .name），500）;<br>}<br></脚本><br><Iframe src =“ // subdomaibeplay官网可以赌n1.portswigger-labs.net/bypassing-cspsing-cspswith-with-dangling-iframes/target.php?email=%22>< frame name =％27”“>

概念证明

结论

CSP对待：空白URL作为相同的来源 - 但是，当攻击者将跨域设置为大约：空白时，它会被攻击者读取，并且绝对不是相同的来源。用于悬挂标记攻击的镀铬缓解措施阻止了一些攻击，但是通过滥用浏览器怪癖，可以避开这些缓解的缓解并通过注射访问跨域信息 - 即使在CSP中禁用JavaScript。

时间线

2022-02-10 08:55 GMT-向Google报告错误
2022-02-10 09:38 GMT-报告给Mozilla
2022-06-14 GMT下午15:00 - 出版了此帖子

CSP 晃来晃去的标记

回到所有文章

绕过CSP用悬空的iframe

加雷斯·海斯（Gareth Heyes）

介绍

跨域iframe问题

结论

时间线

相关的研究

通过动态分析进行狩猎基于非CES的CSP旁路

在PayPal中找到DOM Polyglot XSS

Angularjs CSP旁路56个字符

绕过政策注入CSP

每日Swig的推荐故事beplay2018官网

服务，请：Mozilla修复了Firefox中的CSP旁路缺陷

在Twittebeplay官网可以赌r上关注Portswigger研究