file-csp-1

문제 사이트에서 /test로 csp를 확인할 때 렌더링되는 페이지는 check.html인 것 같은데요. app.py 코드를 보면 따로 csp를 설정하는 코드가 안보이는데 return render_template('check.html') 어떻게 /test에 내가 입력한 csp가 check.html에 적용되는건가요?? /verify로 csp확인할 때는 코드보면 /live를 다시 호출하고 그 안에서 csp를 적용시키는 코드가 있는데. @APP.route('/live', methods=['GET']) def live_csp(): csp = request.args.get('csp', '') resp = make_response(render_template('csp.html')) resp.headers.set('Content-Security-Policy', csp) return resp /test 부분은 그런게 없단 말이죠. 그런데 어느틈에 csp를 설정하는건가요??

문제 페이지에 test와 verify 두개가 있는 데요. app.py 코드를 보면 verify에 대한 라우팅이 없고 실제로 verify로 접근했을 때 처리되는 곳은 @APP.route('/test', methods=['GET', 'POST']) def test_csp(): global CSP if request.method == 'POST': csp = request.form.get('csp') start bot.. try: options = webdriver.ChromeOptions() for _ in ['headless', 'window-size=1920x1080', 'disable-gpu', 'no-sandbox', 'disable-dev-shm-usage']: options.add_argument(_) driver = webdriver.Chrome('/chromedriver', options=options) driver.implicitly_wait(3) driver.set_page_load_timeout(3) driver.get(f'http://localhost:8000/live?csp={quote(csp)}') try: a = driver.execute_script('return a()'); except: a = 'error' try: b = driver.execute_script('return b()'); except: b = 'error' try: c = driver.execute_script('return c()'); except Exception as e: c = 'error' c = e try: d = driver.execute_script('return $(document)'); except: d = 'error' if a == 'error' and b == 'error' and c == 'c' and d != 'error': return FLAG return f'Try again!, {a}, {b}, {c}, {d}' except Exception as e: return f'An error occured!, {e}' return render_template('check.html') 요 /test안의 if request.method =='POST' 이 조건문 안에서 처리되는 것 같은데요. 왜 그런건가요??

b랑 c를 각각 block, allow 하려고 하는데요 sha256을 써서 script 태그 안에 공백을 포함해서 문제 파일에서 준 그대로 들여쓰기랑 엔터를 다 포함해서 function c() { return 'c'; }가 있는 태그를 https://report-uri.com/home/hash 이 사이트에 hash 해준 값을 script-src 'sha256-h3UBR+CCiMUyaz4ckOT4D695Wp2yYeg6yZELS5iD5Ew=' 이렇게 해줬는데 여전히 c가 정의가 안되어있다고 에러가 발생합니다ㅠㅠ 혹시 이유를 알 실마리라도 알려주실수 있으실까요?

nonce랑 hash 값을 이용해 ablock과 jqury까지는 허용 시켰습니다. b() 요녀석을 어떻게 막아야 할지 모르겟네요...c()함수 부분이랑 구분 되는게 안보이는데ㅠㅠ

b랑 c랑 코드상에서 같아보이는데, b는 block하고 c는 어떻게 allow하나요?

CSP에서 require-sri-for script를 사용하면 script에 integrity 속성이 무조건 들어가야 로드되고 아니면 로드되지 않는다고 이해했습니다. require-sri-for의 integrity를 확인할 때 스크립트 내용의 해시를 직접 구하고 integrity에 있는 hash 값과 같은지 비교하는 식인가요? 아니면 script-src로 동일하게 넣어줘야하는건가요? 전자라고 생각하고 c의 hash 값과 require-sri-for script를 사용하면 integrity 속성이 없는 a,b,c를 block하는데 c는 script-src에 allow하는 src여서 c랑 마지막 스크립트가 실행될거라고 생각했는데 그렇지 않더라구요 ㅜ 왜그런건가요??

b 블락하는거에 대해 자꾸 막히는데 힌트가 혹시 있을까요...

스크립트의 hash값을 구할 때 들어가는 문자열의 범위가 어딘가요? 내부라고 해서 function c() { return 'c'; } 만도 해보고 앞뒤 엔터도 해보고 들여쓰기도 해보고 전체 script도 해봤는데 정답 hash 값이 나오지 않아서요 ㅠㅠ 너무 궁금합니다..