Masato Kinugawa Security Blog: CVE-2018-5175: Firefoxã§CSPã®strict-dynamicãƒã‚¤ãƒ‘ス
English version is here: https://mksben.l0.cm/2018/05/cve-2018-5175-firefox-csp-strict-dynamic-bypass.html Firefox 60ã§ä¿®æ£ã•ã‚ŒãŸContent Security Policy(CSP)ã®strict-dynamicã‚’ãƒã‚¤ãƒ‘スã§ããŸè„†å¼±æ€§ã«ã¤ã„ã¦æ›¸ãã¾ã™ã€‚ https://www.mozilla.org/en-US/security/advisories/mfsa2018-11/#CVE-2018-5175 A mechanism to bypass Content Security Policy (CSP) protections on sites that have a script-src policy of 'strict-dynamic'. If a target
Introducing Content Security Policy - MDC Doc Center
HTTP ガイド HTTP ã®æ¦‚è¦ å…¸åž‹çš„ãª HTTP セッション HTTP メッセージ MIME タイプ（IANA メディア種別） HTTP ã®åœ§ç¸® HTTP ã‚ャッシュ HTTP èªè¨¼ HTTP Cookie ã®ä½¿ç”¨ HTTP ã®ãƒªãƒ€ã‚¤ãƒ¬ã‚¯ãƒˆ HTTP æ¡ä»¶ä»˜ãリクエスト HTTP 範囲リクエスト コンテンツãƒã‚´ã‚·ã‚¨ãƒ¼ã‚·ãƒ§ãƒ³ HTTP/1.x ã®ã‚³ãƒã‚¯ã‚·ãƒ§ãƒ³ç®¡ç† HTTP ã®é€²åŒ– プãƒãƒˆã‚³ãƒ«ã®ã‚¢ãƒƒãƒ—グレードã®ä»•çµ„㿠プãƒã‚シサーãƒãƒ¼ã¨ãƒˆãƒ³ãƒãƒªãƒ³ã‚° HTTP クライアントヒント HTTP ã‚»ã‚ュリティ サイトã®å®‰å…¨åŒ– HTTP Observatory Permissions Policy コンテンツセã‚ュリティãƒãƒªã‚·ãƒ¼ (CSP) オリジン間リソース共有 (CORS) Cross-Origin Resource Policy (CORP) Strict-Transport-Securit
AVTOKYO 2014ã§ã€ŒCSPãŒåˆ‡ã‚Šé–‹ãWebã‚»ã‚ュリティã®æœªæ¥ã€ã¨ã„ã†é¡Œã§è©±ã—ã¦ã㟠- 葉ã£ã±æ—¥è¨˜
AVTOKYO2014ã§ã€ã«ã—ã‚€ãã‚ã•ã‚“ã¨ã„ã£ã—ょã«ã€Œã¯ã›ã‚€ãã‚ã€ã¨ã„ã†ãƒ¦ãƒ‹ãƒƒãƒˆåã§Content-Security-Policyをテーマã«è©±ã‚’ã—ã¦ãã¾ã—ãŸã€‚ Future of Web Security Opened up by CSP from Muneaki Nishimura 内容ã¯ã‚¹ãƒ©ã‚¤ãƒ‰ã®ã¨ãŠã‚Šã§ã€æ”»æ’ƒè€…ã¯Fiddlerãªã©ã‚’使ã£ã¦ä»»æ„ã®CSPé•åレãƒãƒ¼ãƒˆJSONã‚’é€ä¿¡å¯èƒ½ã§ã‚ã‚‹ã“ã¨ã€Firefoxã®å ´åˆã«ã¯CSPé•åレãƒãƒ¼ãƒˆã®JSON内ã«ã€Œ<ã€ã€Œ>ã€ãªã©ãŒå«ã¾ã‚Œã‚‹ã®ã§ã€é•åレãƒãƒ¼ãƒˆã‚’表示ã™ã‚‹ç®¡ç†ç”»é¢ã§ã®ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—æ¼ã‚ŒãŒã‚ã‚‹ã¨é•åレãƒãƒ¼ãƒˆã‚’通ã˜ã¦ç®¡ç†ç”»é¢å†…ã§XSSã™ã‚‹ã€ãªã©ã®è©±ã‚’è¡Œã„ã€å®Ÿéš›ã«ç®¡ç†ç”»é¢ã§ã®XSSã®ãƒ‡ãƒ¢ã‚’è¡Œã„ã¾ã—ãŸã€‚ デモã¯ã‚ã‚“ã¾ã‚Šç´°ã‹ã„ã“ã¨ã¯è€ƒãˆã¦ãªã‹ã£ãŸã‚“ã§ã™ãŒã€ã‚¢ãƒ‰ãƒªãƒ–苦手ãªã«ã—ã‚€ãã‚ã•ã‚“ãŒã„ã„味を出ã—ã¦ã¦ã€æ¨ªã§è¦‹ã¦ã„ã¦ã‚‚楽ã—ã‹ã£ãŸã§ã™ã€‚ã¡ãªã¿ã«ç›´å‰ã®æ‰“ã¡åˆã‚
1
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
処ç†ã‚’実行ä¸ã§ã™
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
dubell.io | Exploiting weak Content Security Policy (CSP) rules for fun and profit
{{#tags}}- {{label}}
{{/tags}}