file-csp-1

b랑 c를 각각 block, allow 하려고 하는데요 sha256을 써서 script 태그 안에 공백을 포함해서 문제 파일에서 준 그대로 들여쓰기랑 엔터를 다 포함해서 function c() { return 'c'; }가 있는 태그를 https://report-uri.com/home/hash 이 사이트에 hash 해준 값을 script-src 'sha256-h3UBR+CCiMUyaz4ckOT4D695Wp2yYeg6yZELS5iD5Ew=' 이렇게 해줬는데 여전히 c가 정의가 안되어있다고 에러가 발생합니다ㅠㅠ 혹시 이유를 알 실마리라도 알려주실수 있으실까요?

스크립트의 hash값을 구할 때 들어가는 문자열의 범위가 어딘가요? 내부라고 해서 function c() { return 'c'; } 만도 해보고 앞뒤 엔터도 해보고 들여쓰기도 해보고 전체 script도 해봤는데 정답 hash 값이 나오지 않아서요 ㅠㅠ 너무 궁금합니다..

문제 사이트에서 /test로 csp를 확인할 때 렌더링되는 페이지는 check.html인 것 같은데요. app.py 코드를 보면 따로 csp를 설정하는 코드가 안보이는데 return render_template('check.html') 어떻게 /test에 내가 입력한 csp가 check.html에 적용되는건가요?? /verify로 csp확인할 때는 코드보면 /live를 다시 호출하고 그 안에서 csp를 적용시키는 코드가 있는데. @APP.route('/live', methods=['GET']) def live_csp(): csp = request.args.get('csp', '') resp = make_response(render_template('csp.html')) resp.headers.set('Content-Security-Policy', csp) return resp /test 부분은 그런게 없단 말이죠. 그런데 어느틈에 csp를 설정하는건가요??

b 블락하는거에 대해 자꾸 막히는데 힌트가 혹시 있을까요...

CSP에서 require-sri-for script를 사용하면 script에 integrity 속성이 무조건 들어가야 로드되고 아니면 로드되지 않는다고 이해했습니다. require-sri-for의 integrity를 확인할 때 스크립트 내용의 해시를 직접 구하고 integrity에 있는 hash 값과 같은지 비교하는 식인가요? 아니면 script-src로 동일하게 넣어줘야하는건가요? 전자라고 생각하고 c의 hash 값과 require-sri-for script를 사용하면 integrity 속성이 없는 a,b,c를 block하는데 c는 script-src에 allow하는 src여서 c랑 마지막 스크립트가 실행될거라고 생각했는데 그렇지 않더라구요 ㅜ 왜그런건가요??

문제 페이지에 test와 verify 두개가 있는 데요. app.py 코드를 보면 verify에 대한 라우팅이 없고 실제로 verify로 접근했을 때 처리되는 곳은 @APP.route('/test', methods=['GET', 'POST']) def test_csp(): global CSP if request.method == 'POST': csp = request.form.get('csp') start bot.. try: options = webdriver.ChromeOptions() for _ in ['headless', 'window-size=1920x1080', 'disable-gpu', 'no-sandbox', 'disable-dev-shm-usage']: options.add_argument(_) driver = webdriver.Chrome('/chromedriver', options=options) driver.implicitly_wait(3) driver.set_page_load_timeout(3) driver.get(f'http://localhost:8000/live?csp={quote(csp)}') try: a = driver.execute_script('return a()'); except: a = 'error' try: b = driver.execute_script('return b()'); except: b = 'error' try: c = driver.execute_script('return c()'); except Exception as e: c = 'error' c = e try: d = driver.execute_script('return $(document)'); except: d = 'error' if a == 'error' and b == 'error' and c == 'c' and d != 'error': return FLAG return f'Try again!, {a}, {b}, {c}, {d}' except Exception as e: return f'An error occured!, {e}' return render_template('check.html') 요 /test안의 if request.method =='POST' 이 조건문 안에서 처리되는 것 같은데요. 왜 그런건가요??

nonce랑 hash 값을 이용해 ablock과 jqury까지는 허용 시켰습니다. b() 요녀석을 어떻게 막아야 할지 모르겟네요...c()함수 부분이랑 구분 되는게 안보이는데ㅠㅠ

b랑 c랑 코드상에서 같아보이는데, b는 block하고 c는 어떻게 allow하나요?