Обход Content Security Policy

Всем привет!

Content Security Policy – CSP – является важным аспектом обеспечения информационной безопасности при работе с веб-сайтами.

Но, если она не настроена или настроена некорректно, то это может привести к не самым приятным последствиям.

В статье от Intigriti можно ознакомиться с некоторыми способами ее «обхода».

Рассматриваются такие сценарии как:
🍭 No Content Security Policy (CSP) declaration
🍭 Bypassing CSP enabled in reporting mode only
🍭 Bypassing CSP via non-restrictive declarations
🍭 Bypassing CSP via predictable nonces
🍭 Bypassing CSP via CSP injection

Каждый пример разбирается достаточно подробно.

А понимание способов «обхода» может дать лучшее представление о том, как лучше настроить CSP.