Настройка CSP - Content Security Policy

samimages
На сайте с 31.05.2009
Offline
427
#301

Saacy, прав в том, что Ctrl+C / Ctrl+V - плохо и в двойне плохо когда из подобного паблика.

Суть конечно немного преувеличена, т.к. и сами сайты не известны, и конечные адреса до конца не ясны...

Но если кто-то из ветки положит в папку /csp/ .htaccess - хуже точно не будет.

Опыт как иммунитет — приобретается в муках! Аудит семантики от 15К [долго] - ЛС
Saacy
На сайте с 20.10.2008
Offline
78
#302
Ladycharm:
Угу.
Только данные обрабатываются по stripslashes(json_encode($data)); перед записью в файл и перед парсингом их них имени файла.

И, самостоятельная установка этого скрипта подразумевает минимальные знания php и настройку "под себя". Вы даже не узнаете, в какую директорию пишет файлы этот скрипт.
Она может иметь соответствующие права и быть недоступна снаружи через http.

Ladycharm, вы очень упёртая(ый). 🍿

Уверяю вас, что чистый PHP код вставить туда можно. Если вы так уверены в stripslashes и json_encode, не буду переубеждать. Просто обратите внимание на USER_AGENT. Он никак не фильтруется и пишется целиком.

Как быстро можно узнать директорию - зависит от настроек выплёвывания ошибок сервером. Еще можно бесконечно играть с относительными путями и писать файл куда я захочу.

И я не пытаюсь найти работу, а просто ищу полезные знакомства.

Ищу доноров RU/EN/FR/DE/ES/PT (/ru/forum/888035)
L
На сайте с 07.12.2007
Offline
351
#303
samimages:
Суть конечно немного преувеличена, т.к. и сами сайты не известны, и конечные адреса до конца не ясны...

Сами сайты найти не сложно - навалом сервисов, которые парсят заголовки, report-uri можно найти через них.

Суть - не преувеличена, а полностью искажена, поскольку залить и исполнить php-код через указанный вариант скрипта csp.php - не получится.

Пусть аффтар сначала попробует сделать эксплоит, а потом уже мусорит в профильной теме.

Saacy:
Ladycharm, вы очень упёртая(ый). 🍿

Не, у меня просто знаний - побольше вашего, поэтому не люблю, когда разные теоретики "по ушам ходят".

Saacy
На сайте с 20.10.2008
Offline
78
#304

Я написал вам как "сделать эксплоит".

1. Берём скрипт.

2. Сохраняем в корень сайта.

3. Указываем в заголовках его как report-uri.

4. Меняем свой USER AGENT на "<?php echo 123; ?> (можно использовать плагин для браузера).

5. Добавляем на сайт <script src="http://injection.php/"></script>.

5а. Заходим на сайт 1 разок (если не добавляли динамически).

6. Открываем папку с логами и смотрим injection.php

Суть - не преувеличена, а полностью искажена
у меня просто знаний - побольше вашего

🍿

C
На сайте с 07.05.2010
Offline
243
#305
Saacy:
Уверяю вас, что чистый PHP код вставить туда можно. Если вы так уверены в stripslashes и json_encode, не буду переубеждать. Просто обратите внимание на USER_AGENT. Он никак не фильтруется и пишется целиком.

Вроде suhosin все это чистит, так что не должно быть проблем.

R
На сайте с 15.04.2009
Offline
57
#306

Подскажите пожалуйста, где закралась ошибка.

Начал настраивать CSP.

В отчетах выскакивает отчет по доменам c1n1.hypercomments.com, c1n2.hypercomments.com, c1n3.hypercomments.com

violated-directive: connect-src 'self' www.google-analytics.com https://*.hypercomments.com https://hypercomments.com *.hypercomments.com hypercomments.com *.сайт.ru сайт.ru mc.yandex.ru https://translate.googleapis.com https://pipe.skype.com

USER_AGENT: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/40.0.2214.115 Safari/537.36
IP: 188.244.209.235

Хотя домен hypercomments.com прописан в CSP всеми возможными способами.

Вот мой connect-src

connect-src 'self' www.google-analytics.com https://*.hypercomments.com https://hypercomments.com *.hypercomments.com hypercomments.com *.сайт.ru сайт.ru mc.yandex.ru https://translate.googleapis.com https://pipe.skype.com;\

Может кто поможет подправить, чтобы не было этого отчета. Остальное нужное работает нормально.

C
На сайте с 07.05.2010
Offline
243
#307
Redslon:
Подскажите пожалуйста, где закралась ошибка.
Начал настраивать CSP.
В отчетах выскакивает отчет по доменам c1n1.hypercomments.com, c1n2.hypercomments.com, c1n3.hypercomments.com


script-src http://*.hypercomments.com
style-src http://*.hypercomments.com
img-src http://*.hypercomments.com
frame-src http://*.hypercomments.com
connect-src http://*.hypercomments.com ws://*.hypercomments.com
Ilekor
На сайте с 22.04.2009
Offline
138
#308

Saacy, у меня к вам лишь одно предложение, если вы говорите, что все csp.php уязвимы в этом топике, предложите нам ваш вариант, пожалуйста.

Лучший дорген 21 века AgDor(http://agdor.info)
L
На сайте с 07.12.2007
Offline
351
#309
Vipper222:
Ladycharm, а вот с такими вещами что делать?:
1 - "blocked-uri":"chromenull://","source-file":"about","line-number":17
2 - "blocked-uri":"data","status-code":200
3 - "blocked-uri":"data","status-code"

Особенно много в отчетах второго варианта.

chromenull: - это какой-то расширение Хрому заблочено. Я смотрю по этому же IP и ЮзерАгенту что ещё было в это же время. Там обычно есть что-либо вроде chrome-extension://nhgcieglcpdegkhamigiokdphfhhnlhh, где nhgcieglcpdegkhamigiokdphfhhnlhh - уникальный ID расширения. Проверяю этот ID поиском по Хроме Вебсторе - если там такого нет - расширение нелегальное, фтоппку его.

blocked-uri data - смотрите по полю "violated directive" в какой директиве вызвана блокировка:

1. в директиве script-src: инлайн скрипты вида:

data:text/javascript;base64,KGZ1bmN0aW9u... или

data:text/javascript,(function()%7Bvar%20e..., их используют только malware и некоторые редкие тизерки - в топку их, если сайт не монетизируется этими тизерками. Если монетизируется такими тизерками - делаю пустую страницу с одной тизеркой и смотрю по отчётам CSP что она использует, и открываю это в CSP.

2. в директиве img-src: это инлайн картинки типа data:image/gif;base64,... могут использоваться как движком сайта/плагинами, так и малваре. Надо изучать страницу сайта (из поля "document-uri"). Чтобы открыть работу таких инлайн-картинок, надо в директиву img-src добавить data:.

img-src 'self' data: domen1 domen2 ...

3. в директиве style-src: это стили типа data:text/css - аналогично п. 2. надо изучать страницу сайта, где возникла блокировка.

R
На сайте с 15.04.2009
Offline
57
#310

Случайно увидел топик. Решил глянуть свою статистику по переходам. Открыл и прибалдел.😮 (статистика за февраль)

[ATTACH]140877[/ATTACH]

В общей сумме более 300 различных адресов.

Не имея и малейшего понятия о том, что такое CSP дважды перечитал топик и ушел настраивать.

Сегодня с утра такая картина.

[ATTACH]140878[/ATTACH]

Кроме того, подрос ЦТР на адсенсе. Правда, делать выводы о том, связано ли это с CSP пока рано, но факт обнадеживающий:)

В общем, всем участникам обсуждения огромное спасибо за такой объем полезной и понятной инфы.

jpg 140877.jpg
jpg 2.jpg

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий