Ders 3.4: Content Security Policy raporları: bir skimmer'ı yakalamak
Web 101, Content-Security-Policy'yi bir başlık olarak tanıttı. Uygulamada iki aşamada devreye alınır: tarayıcıların politikanın engelleyeceği her şey için bir JSON raporu gönderdiği Report-Only ve uygulama. Bu raporlar aynı zamanda bir sensördür: bir üçüncü taraf betiği ödeme sayfasında yeni bir alan adından kod yüklemeye başladığında bunu sana kendi müşterilerinin tarayıcıları söyler. Laboratuvarda Northwind'in bir günlük CSP raporlarını okuyor, gürültüyü bir web skimmer'ından ayırıyor, onu ele geçirilmiş bir üçüncü taraf kütüphaneye kadar izliyor ve mağazayı bozmadan politikayı uygulamaya geçiriyorsun.
17 dk
Bu derste öğreneceklerin
- Report-Only ve uygulanan CSP'yi açıklamak
- CSP ihlal raporlarını jq ile okumak
- Gürültüyü (eklentiler, eski sayfalar) saldırılardan ayırmak
- Bir web skimming (Magecart) örüntüsünü tanımak
- Bir politikayı güvenle uygulamaya geçirmek
Temel terimler
- Content-Security-Policy-Report-Only
- Aynı politika; değerlendirilir ama uygulanmaz, ihlaller yalnızca raporlanır.
- İhlal raporu
- Tarayıcının gönderdiği JSON belgesi: sayfa, yönerge, engellenen URI, kaynak dosya.
- Yönerge
- Kaynak türü başına politikanın bir kuralı: script-src, connect-src, img-src, font-src …
- Web skimming (Magecart)
- Müşterilerin yazdığını kopyalayıp dışarı gönderen, ödeme sayfasındaki kötü amaçlı JavaScript.
- Üçüncü taraf betiği
- Başkasının sunucusundan yüklenen kod; sayfanın tüm gücüyle çalışır.
← Güvenlik başlıkları · Tüm dersler · Kerberos ön kimlik doğrulaması ve AS-REP roasting →