DVWA—内容安全策略绕过（CSP Bypass）

DVWA—内容安全策略绕过（CSP Bypass）

原理

CSP（Content Security Policy，内容安全策略）是一种用于防范XSS攻击的技术手段，其核心在于通过设置HTTP头部中的Content-Security-Policy参数，对来自不可信来源的JavaScript脚本执行进行有效限制，从而实现对XSS攻击的防御。通常情况下，针对XSS攻击的应对方式主要依赖于对输入内容中特殊字符、标签及文本进行过滤或转义处理。而CSP则提供了一种不同的解决方案，其本质采用的是白名单机制，即由开发者明确指定客户端允许加载和执行的外部资源，这相当于为系统设定了一个可信资源列表。该策略的具体实施与执行过程完全交由浏览器完成，开发人员只需负责相关配置的设定即可。

low

    <?php
    
    $headerCSP = "Content-Security-Policy: script-src 'self' https://pastebin.com hastebin.com www.toptal.com example.com code.jquery.com https://ssl.google-analytics.com ;"; // allows js from self, pastebin.com, hastebin.