搜索

[25581] 2016-10-10_内容安全策略（CSP），防御XSS攻击的好助手

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-19
2016-10-10_内容安全策略（CSP），防御XSS攻击的好助手 内 容 安 全 策 略 （ C S P ） ， 防 御   X S S   攻 击 的 好 助 手 原 创   译 者 ： w c n n b d k 1   L i n u x 中 国   2 0 1 6 - 1 0 - 1 0 本 文 导 航 - 什 么 是   C S P ? - 一 些 指 令 - 一 个 例 子 - 更 多 关 于   C S P   的 信 息 - 支 持 - 其 他 需 要 考 虑 的 因 素 - 如 何 在 现 实 世 界 中 使 用 它 - r e p o r t - u r i - r e p o r t - o n l y - 结 论 - 为 什 么   C S P   很 酷 - 如 何 让   C S P   变 得 更 酷 很 久 之 前 ， 我 的 个 人 网 站 被 攻 击 了 。 我 不 知 道 它 是 如 何 发 生 的 ， 但 它 确 实 发 生 了 。 幸 运 的 是 ， 攻 击 带 来 的 破 坏 是 很 小 的 ： 一 小 段   J a v a S c r i p t   被 注 入 到 了 某 些 页 面 的 底 部 。 我 更 新 了   F T P   和 其 它 的 口 令 ， 清 理 了 一 些 文 件 ， 事 情 就 这 样 结 束 了 。 有 一 点 使 我 很 恼 火 ： 在 当 时 ， 还 没 有 一 种 简 便 的 方 案 能 够 使 我 知 道 那 里 有 问 题 ， 更 重 要 的 是 能 够 保 护 网 站 的 访 客 不 被 这 段 恼 人 的 代 码 所 扰 。 现 在 有 一 种 方 案 出 现 了 ， 这 种 技 术 在 上 述 两 方 面 都 十 分 的 成 功 。 它 就 是 c o n t e n t   s e c u r i t y   p o l i c y 内 容 安 全 策 略 （ C S P ） 。 什 么 是 什 么 是   C S P ? 其 核 心 思 想 十 分 简 单 ： 网 站 通 过 发 送 一 个   C S P   头 部 ， 来 告 诉 浏 览 器 什 么 是 被 授 权 执 行 的 与 什 么 是 需 要 被 禁 止 的 。 这 里 有 一 个   P H P   的 例 子 ：
一 些 指 令 一 些 指 令 你 可 以 定 义 一 些 全 局 规 则 或 者 定 义 一 些 涉 及 某 一 类 资 源 的 规 则 ： 基 础 参 数 是   ： 如 果 没 有 为 某 一 类 资 源 设 置 指 令 规 则 ， 那 么 浏 览 器 就 会 使 用 这 个 默 认 参 数 值 。 在 这 个 例 子 中 ， 我 们 已 经 授 权 了   w w w . g o o g l e - a n a l y t i c s . c o m   这 个 域 名 来 源 的   J a v a S c r i p t   文 件 使 用 到 我 们 的 网 站 上 。 我 们 也 添 加 了     这 个 关 键 词 ； 如 果 我 们 通 过     来 重 新 设 置 其 它 的 规 则 指 令 ， 它 将 会 覆 盖     规 则 。 如 果 没 有 指 明 协 议 （ s c h e m e ） 或 端 口 ， 它 就 会 强 制 选 择 与 当 前 页 面 相 同 的 协 议 或 端 口 。 这 样 做 防 止 了 混 合 内 容 （ L C T T   译 注 ： 混 合 内 容 指   H T T P S   页 面 中 也 有 非   H T T P S   资 源 ， 可 参 见 ： h t t p s : / / d e v e l o p e r . m o z i l l a . o r g / z h - C N / d o c s / S e c u r i t y / M i x e d C o n t e n t   ） 。 如 果 页 面 是   h t t p s : / / e x a m p l e . c o m ， 那 么 你 将 无 法 加 载   h t t p : / / w w w . g o o g l e - a n a l y t i c s . c o m / f i l e . j s   因 为 它 已 经 被 禁 止 了 （ 协 议 不 匹 配 ） 。 然 而 ， 有 一 个 例 外 就 是 协 议 的 提 升 是 被 允 许 的 。 如 果   h t t p : / / e x a m p l e . c o m   尝 试 加 载 h t t p s : / / w w w . g o o g l e - a n a l y t i c s . c o m / f i l e . j s ， 接 着 协 议 或 端 口 允 许 被 更 改 以 便 协 议 的 提 升 。 1 .   < ? p h p 2 .           h e a d e r ( " C o n t e n t - S e c u r i t y - P o l i c y :   < y o u r   d i r e c t i v e s > " ) ; 3 .   ? > 1 .   d e f a u l t - s r c   ' s e l f '   ; 2 .             #   s e l f   =   同 端 口 ， 同 域 名 ， 同 协 议   = >   允 许 d e f a u l t - s r c 1 .   s c r i p t - s r c   ' s e l f '   w w w . g o o g l e - a n a l y t i c s . c o m   ; 2 .             #   来 自 这 些 域 名 的   J S   文 件   = >   允 许 ' s e l f ' s c r i p t - s r c d e f a u l t - s r c 1 .   s t y l e - s r c   ' s e l f '   d a t a :   ; 2 .             #   D a t a - U r i   嵌 入   C S S   = >   允 许
在 这 个 例 子 中 ， 关 键 词     授 权 了 在   C S S   文 件 中   d a t a   内 嵌 内 容 。 在   C S P   1   规 范 下 ， 你 也 可 以 设 置 如 下 规 则 ：   有 效 的 图 片 来 源   应 用 于   X M L H t t p R e q u e s t （ A J A X ） ， W e b S o c k e t   或   E v e n t S o u r c e   有 效 的 字 体 来 源   有 效 的 插 件 来 源 （ 例 如 ， ， ， ）   有 效 的     和     来 源 C S P   2   规 范 包 含 了 如 下 规 则 ：   有 效 的   w e b   w o r k e r s   和   元 素 来 源 ， 如     和     （ 这 个 指 令 用 来 替 代   C S P   1   中 废 弃 了 的     指 令 ）   可 以 作 为   H T M L     的   a c t i o n   的 有 效 来 源   使 用   ， ， ， 2 .             #   D a t a - U r i   嵌 入   C S S   = >   允 许 d a t a : i m g - s r c c o n n e c t - s r c f o n t - s r c o b j e c t - s r c < o b j e c t > < e m b e d > < a p p l e t > m e d i a - s r c < a u d i o > < v i d e o > c h i l d - s r c < f r a m e > < i f r a m e > f r a m e - s r c f o r m - a c t i o n < f o r m > f r a m e - a n c e s t o r s < f r a m e > < i f r a m e > < o b j e c t > < e m b e d >
  或   内 嵌 资 源 的 有 效 来 源   命 令 用 户 代 理 来 重 写   U R L   协 议 ， 将   H T T P   改 到   H T T P S   （ 为 一 些 需 要 重 写 大 量 陈 旧   U R L   的 网 站 提 供 了 方 便 ） 。 为 了 更 好 的 向 后 兼 容 一 些 废 弃 的 属 性 ， 你 可 以 简 单 的 复 制 当 前 指 令 的 内 容 同 时 为 那 个 废 弃 的 指 令 创 建 一 个 相 同 的 副 本 。 例 如 ， 你 可 以 复 制     的 内 容 同 时 在     中 添 加 一 份 相 同 的 副 本 。 C S P   2   允 许 你 添 加 路 径 到 白 名 单 中 （ C S P   1   只 允 许 域 名 被 添 加 到 白 名 单 中 ） 。 因 此 ， 相 较 于 将 整 个   w w w . f o o . c o m   域 添 加 到 白 名 单 ， 你 可 以 通 过 添 加   w w w . f o o . c o m / s o m e / f o l d e r   这 样 的 路 径 到 白 名 单 中 来 作 更 多 的 限 制 。 这 个 需 要 浏 览 器 中   C S P   2   的 支 持 ， 但 它 很 明 显 更 安 全 。 一 个 例 子 一 个 例 子 我 为   W e b   2 0 1 5   巴 黎 大 会 上 我 的 演 讲   “ C S P   i n   A c t i o n [ 1 ] ” 制 作 了 一 个 简 单 的 例 子 。 在 没 有   C S P   的 情 况 下 ， 页 面 展 示 如 下 图 所 示 ： 不 是 十 分 优 美 。 要 是 我 们 启 用 了 如 下 的   C S P   指 令 又 会 怎 样 呢 ？ < e m b e d > < a p p l e t > u p g r a d e - i n s e c u r e - r e q u e s t s c h i l d - s r c f r a m e - s r c 1 .   < ? p h p 2 .           h e a d e r ( " C o n t e n t - S e c u r i t y - P o l i c y :   3 .               d e f a u l t - s r c   ' s e l f '   ; 4 .               s c r i p t - s r c   ' s e l f '   w w w . g o o g l e - a n a l y t i c s . c o m   s t a t s . g . d o u b l e c l i c k . n e t   ;   5 .               s t y l e - s r c   ' s e l f '   d a t a :   ; 6 .               i m g - s r c   ' s e l f '   w w w . g o o g l e - a n a l y t i c s . c o m   s t a t s . g . d o u b l e c l i c k . n e t   d a t a :   ; 7 .               f r a m e - s r c   ' s e l f '   ; " ) ;
浏 览 器 将 会 作 什 么 呢 ？ 它 会 （ 非 常 严 格 的 ） 在   C S P   基 础 规 则 之 下 应 用 这 些 指 令 ， 这 意 味 着 任 何 没 有 在 任 何 没 有 在   C S P   指 令 中 被 授 权 指 令 中 被 授 权 允 许 的 都 将 会 被 禁 止 允 许 的 都 将 会 被 禁 止 （ “ b l o c k e d ”   指 的 是 不 被 执 行 、 不 被 显 示 并 且 不 被 使 用 在 网 站 中 ） 。 在   C S P   的 默 认 设 置 中 ， 内 联 脚 本 和 样 式 是 不 被 授 权 的 ， 意 味 着 每 一 个   ，   事 件 属 性 或     属 性 都 将 会 被 禁 止 。 你 可 以 使 用     指 令 来 授 权 使 用 内 联   C S S 。 在 一 个 支 持   C S P   的 现 代 浏 览 器 中 ， 上 述 示 例 看 起 来 如 下 图 ： 发 生 了 什 么 ？ 浏 览 器 应 用 了 指 令 并 且 拒 绝 了 所 有 没 有 被 授 权 的 内 容 。 它 在 浏 览 器 调 试 终 端 中 发 送 了 这 些 通 知 ： 如 果 你 依 然 不 确 定   C S P   的 价 值 ， 请 看 一 下   A a r o n   G u s t a f s o n   文 章   “ M o r e   P r o o f   W e   D o n ' t   C o n t r o l   O u r   W e b   P a g e s [ 2 ] ” 。 当 然 ， 你 可 以 使 用 比 我 们 在 示 例 中 提 供 的 更 严 格 的 指 令 ： 设 置     为   ' n o n e ' 为 每 条 规 则 指 定 你 的 设 置 为 请 求 的 文 件 指 定 它 的 绝 对 路 径 等 更 多 关 于 更 多 关 于   C S P   的 信 息 的 信 息 8 .   ? > < s c r i p t > o n c l i c k s t y l e s t y l e - s r c   ' u n s a f e - i n l i n e '   ; d e f a u l t - s r c
支 持 支 持 C S P   不 是 一 个 需 要 复 杂 的 配 置 才 能 正 常 工 作 的 每 日 构 建 特 性 。 C S P   1   和   2   是 候 选 推 荐 标 准 ！ 浏 览 器 可 以 非 常 完 美 的 支 持 C S P   1 [ 3 ] 。 C S P   2   是 较 新 的 规 范 [ 4 ] ， 因 此 对 它 的 支 持 会 少 那 么 一 点 。 现 在   C S P   3   还 是 一 个 早 期 草 案 ， 因 此 还 没 有 被 支 持 ， 但 是 你 依 然 可 以 使 用   C S P   1   和   2   来 做 一 些 重 大 的 事 。 其 他 需 要 考 虑 的 因 素 其 他 需 要 考 虑 的 因 素 C S P   被 设 计 用 来 降 低 跨 站 脚 本 攻 击 （ X S S ） 的 风 险 ， 这 就 是 不 建 议 开 启 内 联 脚 本 和     指 令 的 原 因 。 F i r e f o x   对 这 个 问 题 做 了 很 好 的 说 明 ： 在 浏 览 器 中 ， 敲 击     并 且 键 入   ， 它 就 会 向 你 展 示 指 令 和 对 应 的 建 议 。 这 里 有 一 个 在   T w i t t e r   网 站 中 应 用 的 例 子 ： s c r i p t - s r c S h i f t   +   F 2 s e c u r i t y   c s p
如 果 你 确 实 需 要 使 用 内 联 脚 本 和 样 式 的 话 ， 另 一 种 可 能 就 是 生 成 一 份 散 列 值 。 例 如 ， 我 们 假 定 你 需 要 使 用 如 下 的 内 联 脚 本 ： 你 应 该 在     指 令 中 添 加     作 为 有 效 来 源 。 这 个 散 列 值 用 下 面 的   P H P   脚 本 执 行 获 得 的 结 果 ： 我 在 前 文 中 说 过   C S P   被 设 计 用 来 降 低   X S S   风 险 ， 我 还 得 加 上 “ … … 与 降 低 未 经 请 求 内 容 的 风 险 。 ” 伴 随 着   C S P   的 使 用 ， 你 必 须 知 道 你 内 容 的 来 源 是 哪 里 知 道 你 内 容 的 来 源 是 哪 里 与 它 们 在 你 的 前 端 都 作 了 些 什 么 它 们 在 你 的 前 端 都 作 了 些 什 么 （ 内 联 样 式 ， 等 ） 。 C S P   同 时 可 以 帮 助 你 让 贡 献 者 、 开 发 人 员 和 其 他 人 员 来 遵 循 你 内 容 来 源 的 规 则 ！ 现 在 你 的 问 题 就 只 是 ， “ 不 错 ， 这 很 好 ， 但 是 我 们 如 何 在 生 产 环 境 中 使 用 它 呢 ？ ” 如 何 在 现 实 世 界 中 使 用 它 如 何 在 现 实 世 界 中 使 用 它 想 要 在 第 一 次 使 用   C S P   之 后 就 失 望 透 顶 的 方 法 就 是 在 生 产 环 境 中 测 试 。 不 要 想 当 然 的 认 为 ， “ 这 会 很 简 单 。 我 的 代 码 是 完 美 并 且 相 当 清 晰 的 。 ” 不 要 这 样 作 。 我 这 样 干 过 。 相 信 我 ， 这 相 当 的 蠢 。 正 如 我 之 前 说 明 的 ， C S P   指 令 由   C S P   头 部 来 激 活 ， 这 中 间 没 有 过 渡 阶 段 。 你 恰 恰 就 是 其 中 的 薄 弱 环 节 。 你 可 能 会 忘 记 授 权 某 些 东 西 或 者 遗 忘 了 你 网 站 中 的 一 小 段 代 码 。 C S P   不 会 饶 恕 你 的 疏 忽 。 然 而 ， C S P   的 两 个 特 性 将 这 个 问 题 变 得 相 当 的 简 单 。 r e p o r t - u r i 1 .   < s c r i p t > a l e r t ( ' H e l l o ,   w o r l d . ' ) ; < / s c r i p t > s c r i p t - s r c s h a 2 5 6 - q z n L c s R O x 4 G A C P 2 d m 0 U C K C z C G - H i Z 1 g u q 6 Z Z D o b _ T n g = 1 .   < ? p h p 2 .           e c h o   b a s e 6 4 _ e n c o d e ( h a s h ( ' s h a 2 5 6 ' ,   " a l e r t ( ' H e l l o ,   w o r l d . ' ) ; " ,   t r u e ) ) ; 3 .   ? >
还 记 得   C S P   发 送 到 终 端 中 的 那 些 通 知 么 ？   指 令 可 以 被 用 来 告 诉 浏 览 器 发 送 那 些 通 知 到 指 定 的 地 址 。 报 告 以   J S O N   格 式 送 出 。 因 此 ， 我 们 可 以 在   c s p - p a r s e r . p h p   文 件 中 处 理 有 浏 览 器 送 出 的 数 据 。 这 里 有 一 个 由   P H P   实 现 的 最 基 础 的 例 子 ： 2 .   这 个 通 知 将 会 被 转 换 成 为 一 封 邮 件 。 在 开 发 过 程 中 ， 你 可 能 不 会 需 要 比 这 更 复 杂 的 其 它 东 西 。 对 于 一 个 生 产 环 境 （ 或 者 是 一 个 有 较 多 访 问 的 开 发 环 境 ） ， 你 应 该 使 用 一 种 比 邮 件 更 好 的 收 集 信 息 的 方 式 ， 因 为 这 种 方 式 在 节 点 上 没 有 验 证 和 速 率 限 制 ， 并 且   C S P   可 能 变 得 乱 哄 哄 的 。 只 需 想 像 一 个 会 产 生   1 0 0   个   C S P   通 知 （ 例 如 ， 一 个 从 未 授 权 来 源 展 示 图 片 的 脚 本 ） 并 且 每 天 会 被 浏 览   1 0 0   次 的 页 面 ， 那 你 就 会 每 天 收 到   1 0 0 0 0   个 通 知 啊 ！ 例 如   r e p o r t - u r i . i o [ 5 ]   这 样 的 服 务 可 以 用 来 简 化 你 的 通 知 管 理 。 你 也 可 以 在   G i t H u b 上 看 一 些 另 外 的 使 用   （ 与 数 据 库 搭 配 ， 添 加 一 些 优 化 ， 等 ） 的 简 单 例 子 。 r e p o r t - o n l y 正 如 我 们 所 见 的 ， 最 大 的 问 题 就 是 在 使 用 和 不 使 用   C S P   之 间 没 有 中 间 地 带 。 然 而 ， 一 个 名 为     的 特 性 会 发 送 一 个 稍 有 不 同 的 头 部 ： r e p o r t - u r i 1 .   r e p o r t - u r i   / c s p - p a r s e r . p h p   ; 1 .   $ d a t a   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ; 3 .           i f   ( $ d a t a   =   j s o n _ d e c o d e ( $ d a t a ,   t r u e ) )   { 4 .             $ d a t a   =   j s o n _ e n c o d e ( 5 .               $ d a t a , 6 .               J S O N _ P R E T T Y _ P R I N T   |   J S O N _ U N E S C A P E D _ S L A S H E S 7 .               ) ; 8 .             m a i l ( E M A I L ,   S U B J E C T ,   $ d a t a ) ; 9 .           } r e p o r t - u r i r e p o r t - o n l y < ? p h p
总 的 来 说 ， 这 个 头 部 就 是 告 诉 浏 览 器 ， “ 表 现 得 似 乎 所 有 的   C S P   指 令 都 被 应 用 了 ， 但 是 不 禁 止 任 何 东 西 。 只 是 发 送 通 知 给 自 己 。 ” 这 是 一 种 相 当 棒 的 测 试 指 令 的 方 式 ， 避 免 了 任 何 有 价 值 的 东 西 被 禁 止 的 风 险 。 在     和     的 帮 助 下 你 可 以 毫 无 风 险 的 测 试   C S P   指 令 ， 并 且 可 以 实 时 的 监 控 网 站 上 一 切 与   C S P   相 关 的 内 容 。 这 两 个 特 性 对 部 署 和 维 护   C S P   来 说 真 是 相 当 的 有 用 ！ 结 论 结 论 为 什 么 为 什 么   C S P   很 酷 很 酷 C S P   对 你 的 用 户 来 说 是 尤 其 重 要 的 ： 他 们 在 你 的 网 站 上 不 再 需 要 遭 受 任 何 的 未 经 请 求 的 脚 本 ， 内 容 或   X S S   的 威 胁 了 。 对 于 网 站 维 护 者 来 说   C S P   最 重 要 的 优 势 就 是 可 感 知 。 如 果 你 对 图 片 来 源 设 置 了 严 格 的 规 则 ， 这 时 一 个 脚 本 小 子 尝 试 在 你 的 网 站 上 插 入 一 张 未 授 权 来 源 的 图 片 ， 那 么 这 张 图 片 就 会 被 禁 止 ， 并 且 你 会 在 第 一 时 间 收 到 提 醒 。 开 发 者 也 需 要 确 切 的 知 道 他 们 的 前 端 代 码 都 在 做 些 什 么 ， C S P   可 以 帮 助 他 们 掌 控 一 切 。 会 促 使 他 们 去 重 构 他 们 代 码 中 的 某 些 部 分 （ 避 免 内 联 函 数 和 样 式 ， 等 ） 并 且 促 使 他 们 遵 循 最 佳 实 践 。 如 何 让 如 何 让   C S P   变 得 更 酷 变 得 更 酷 讽 刺 的 是 ， C S P   在 一 些 浏 览 器 中 过 分 的 高 效 了 ， 在 和 书 签 栏 小 程 序 一 起 使 用 时 会 产 生 一 些   b u g 。 因 此 ， 不 要 更 新 你 的   C S P 指 令 来 允 许 书 签 栏 小 程 序 。 我 们 无 法 单 独 的 责 备 任 何 一 个 浏 览 器 ； 它 们 都 有 些 问 题 ： F i r e f o x C h r o m e   ( B l i n k ) W e b K i t 大 多 数 情 况 下 ， 这 些   b u g   都 是 禁 止 通 知 中 的 误 报 。 所 有 的 浏 览 器 提 供 者 都 在 努 力 解 决 这 些 问 题 ， 因 此 我 们 可 以 期 待 很 快 就 会 被 解 决 。 无 论 怎 样 ， 这 都 不 会 成 为 你 使 用   C S P   的 绊 脚 石 。 v i a :   h t t p s : / / w w w . s m a s h i n g m a g a z i n e . c o m / 2 0 1 6 / 0 9 / c o n t e n t - s e c u r i t y - p o l i c y - y o u r - f u t u r e - b e s t - f r i e n d / 作 者 ： N i c o l a s   H o f f m a n n [ 6 ]   译 者 ： w c n n b d k 1   校 对 ： w x y 1 .   < ? p h p 2 .           h e a d e r ( " C o n t e n t - S e c u r i t y - P o l i c y - R e p o r t - O n l y :   < y o u r   d i r e c t i v e s > " ) ; 3 .   ? > r e p o r t - o n l y r e p o r t - u r i
本 文 由   L C T T [ 7 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 [ 1 ] :   h t t p s : / / r o c s s t i . n e t / e n / e x a m p l e - c s p - p a r i s - w e b 2 0 1 5 [ 2 ] :   h t t p s : / / w w w . a a r o n - g u s t a f s o n . c o m / n o t e b o o k / m o r e - p r o o f - w e - d o n t - c o n t r o l - o u r - w e b - p a g e s / [ 3 ] :   h t t p : / / c a n i u s e . c o m / # f e a t = c o n t e n t s e c u r i t y p o l i c y [ 4 ] :   h t t p : / / c a n i u s e . c o m / # f e a t = c o n t e n t s e c u r i t y p o l i c y 2 [ 5 ] :   h t t p s : / / r e p o r t - u r i . i o / [ 6 ] :   h t t p s : / / w w w . s m a s h i n g m a g a z i n e . c o m / a u t h o r / n i c o l a s h o f f m a n n / [ 7 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理