#csp-bypass

반영 XSS에 CSP가 걸려 있지만, CSP를 설정하는 header()가 본문을 echo한 "뒤"에 있다. 재귀 str_replace가 반복마다 출력을 뱉는 걸 이용해 PHP output_buffering을 넘기면, 헤더가 먼저 나가버려 CSP header()가 실패한다. CSP가 사라진 페이지에서 XSS로 쿠키를 유출했다.

script-src 'self' 'nonce-…' 에 반영 XSS. 앞선 CSP Bypass는 /vuln이 입력을 raw로 돌려줘 자기-스크립트-가젯으로 풀렸지만, Advanced는 /vuln을 HTML로 감싸 그 길을 막았다. CSP에 base-uri가 없다는 틈을 파고들어, base 태그로 페이지의 정품 nonce 스크립트를 공격자 서버로 재해석시켜 임의 JS를 실행했다.

파라미터가 HTML로 그대로 반영되지만 CSP가 인라인 스크립트를 nonce로 막는다. 그런데 script-src에 unsafe-eval과 ajax.googleapis.com이 함께 열려 있어, 거기서 AngularJS를 불러 CSTI로 코드를 실행한다. 봇의 flag 쿠키를 동일출처 /memo로 흘려 회수했다.

script-src 'self' 'nonce-X'가 걸린 반사형 XSS. 인라인 스크립트는 nonce가 없어 콘솔에서 바로 막히지만, /vuln 자신이 입력을 그대로 돌려주는 걸 이용해 <script src="/vuln?param=...">로 스스로를 "동일 출처 스크립트"로 위장시키면 nonce 없이 실행된다. 유출도 fetch/img가 아니라 top-level navigation으로 — CSP가 애초에 막지 않는 경로다. 목적지는 외부 서버가 아니라 같은 앱의 전역 메모장.

CSP가 inline script를 막지만 nonce를 Python random()으로 만든다. 응답 헤더로 새는 nonce를 624워드 모아 MT19937 상태를 복원하면 다음 nonce가 예측된다. reporter username의 stored XSS에 예측한 nonce를 박아 admin 봇 브라우저에서 /admin 플래그를 빼냈다.