欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

ASP.NET Core中如何利用Csp標(biāo)頭對(duì)抗Xss攻擊

 更新時(shí)間：2019年09月05日 15:12:05   作者：ZaraNet  
這篇文章主要給大家介紹了關(guān)于ASP.NET Core中如何利用Csp標(biāo)頭對(duì)抗Xss攻擊的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家學(xué)習(xí)或者使用ASP.NET Core具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面來一起學(xué)習(xí)學(xué)習(xí)吧

內(nèi)容安全策略（CSP）是一個(gè)增加的安全層，可幫助檢測(cè)和緩解某些類型的攻擊，包括跨站點(diǎn)腳本（XSS）和數(shù)據(jù)注入攻擊。這些攻擊用于從數(shù)據(jù)竊取到站點(diǎn)破壞或惡意軟件分發(fā)的所有內(nèi)容（深入CSP）

簡(jiǎn)而言之，CSP是網(wǎng)頁(yè)控制允許加載哪些資源的一種方式。例如，頁(yè)面可以顯式聲明允許從中加載JavaScript，CSS和圖像資源。這有助于防止跨站點(diǎn)腳本（XSS）攻擊等問題。

它也可用于限制協(xié)議，例如限制通過HTTPS加載的內(nèi)容。CSP通過 Content-Security-Policy HTTP響應(yīng)中的標(biāo)頭實(shí)現(xiàn)。

啟用CSP,您需要配置Web服務(wù)器以返回Content-Security-Policy HTTP標(biāo)頭。那么在這篇文章中，我們將要嘗試將CSP添加到ASP.NET Core應(yīng)用程序中。

app.Use(async (ctx, next) =>
  {
  ctx.Response.Headers.Add("Content-Security-Policy",
    "default-src 'self'; report-uri /cspreport");
  await next();
  });

在Home/Index中引入cdn文件，然后我們啟動(dòng)項(xiàng)目，看看會(huì)發(fā)生什么！

運(yùn)行并觀察錯(cuò)誤。加載頁(yè)面時(shí)，瀏覽器拒絕從遠(yuǎn)程源加載。

 

所以我們可以組織CSP來控制我們的白名單，在配置當(dāng)中需要填寫來源以及內(nèi)容，以下是常用限制的選項(xiàng)。

來源：

*: 允許任何網(wǎng)址。
‘self': 允許所提供頁(yè)面的來源。請(qǐng)注意，單引號(hào)是必需的。
‘none': 不允許任何來源。請(qǐng)注意，單引號(hào)是必需的。
Host: 允許指定的互聯(lián)網(wǎng)主機(jī)（按名稱或IP地址）。通配符（星號(hào)字符）可用于包括所有子域，例如http：//*.foo.com
‘unsafe-line': 允許內(nèi)聯(lián)腳本
‘nonce-[base64-value]': 允許具有特定nonce的內(nèi)聯(lián)腳本（使用一次的數(shù)字）。對(duì)于每個(gè)HTTP請(qǐng)求/響應(yīng)，應(yīng)該對(duì)nonce進(jìn)行加密和唯一。

 指令：

script-src：定義有效的JavaScript源
style-src：定義樣式表的有效來源
img-src：定義有效的圖像源
connect-src：定義可以進(jìn)行AJAX調(diào)用的有效源
font-src：定義有效的字體來源
object-src：定義<object>，<embed>和<applet>元素的有效源
media-src：定義有效的音頻和視頻源
form-action：定義可用作HTML <form>操作的有效源。
default-src：指定加載內(nèi)容的默認(rèn)策略

我們可以在可重用的中間件中封裝構(gòu)建和添加CSP頭。以下是一個(gè)讓您入門的示例。你可以根據(jù)需要擴(kuò)展它。首先，創(chuàng)建一個(gè)用于保存源的類。

public class CspOptions
 {
  public List<string> Defaults { get; set; } = new List<string>();
  public List<string> Scripts { get; set; } = new List<string>();
  public List<string> Styles { get; set; } = new List<string>();
  public List<string> Images { get; set; } = new List<string>();
  public List<string> Fonts { get; set; } = new List<string>();
  public List<string> Media { get; set; } = new List<string>();
 }

開發(fā)一個(gè)中間件一定是需要一個(gè)構(gòu)造器的，這將用于.net core 的注入到運(yùn)行環(huán)境中。

public sealed class CspOptionsBuilder 
 { 
  private readonly CspOptions options = new CspOptions(); 
  
  internal CspOptionsBuilder() { } 
 
  public CspDirectiveBuilder Defaults { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Scripts { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Styles { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Images { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Fonts { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Media { get; set; } = new CspDirectiveBuilder(); 
 
  internal CspOptions Build() 
  { 
   this.options.Defaults = this.Defaults.Sources; 
   this.options.Scripts = this.Scripts.Sources; 
   this.options.Styles = this.Styles.Sources; 
   this.options.Images = this.Images.Sources; 
   this.options.Fonts = this.Fonts.Sources; 
   this.options.Media = this.Media.Sources; 
   return this.options; 
  } 
 } 
 
 public sealed class CspDirectiveBuilder 
 { 
  internal CspDirectiveBuilder() { } 
 
  internal List<string> Sources { get; set; } = new List<string>(); 
 
  public CspDirectiveBuilder AllowSelf() => Allow("'self'"); 
  public CspDirectiveBuilder AllowNone() => Allow("none"); 
  public CspDirectiveBuilder AllowAny() => Allow("*"); 
 
  public CspDirectiveBuilder Allow(string source) 
  { 
   this.Sources.Add(source); 
   return this; 
  } 
 }

好了，我們創(chuàng)建一個(gè)中間件。

namespace XSSDefenses.XSSDefenses.MiddlerWare
{
 public sealed class CspOptionMiddlerWare
 {
  private const string HEADER = "Content-Security-Policy";
  private readonly RequestDelegate next;
  private readonly CspOptions options;

  public CspOptionMiddlerWare(
   RequestDelegate next, CspOptions options)
  {
   this.next = next;
   this.options = options;
  }

  public async Task Invoke(HttpContext context)
  {
   context.Response.Headers.Add(HEADER, GetHeaderValue());
   await this.next(context);
  }

  private string GetHeaderValue()
  {
   var value = "";
   value += GetDirective("default-src", this.options.Defaults);
   value += GetDirective("script-src", this.options.Scripts);
   value += GetDirective("style-src", this.options.Styles);
   value += GetDirective("img-src", this.options.Images);
   value += GetDirective("font-src", this.options.Fonts);
   value += GetDirective("media-src", this.options.Media);
   return value;
  }
  private string GetDirective(string directive, List<string> sources)
   => sources.Count > 0 ? $"{directive} {string.Join(" ", sources)}; " : "";
 }
}

以及設(shè)置它的擴(kuò)展方法。

namespace XSSDefenses.XSSDefenses.Extensions
{
 public static class CspMiddlewareExtensions
 {
  public static IApplicationBuilder UseCsp(
    this IApplicationBuilder app, Action<CspOptionsBuilder> builder)
  {
   var newBuilder = new CspOptionsBuilder();
   builder(newBuilder);
 
   var options = newBuilder.Build();
   return app.UseMiddleware<CspOptionMiddlerWare>(options);
  }
 }
}

我們現(xiàn)在可以在Startup類中配置中間件。

app.UseCsp(builder =>
   {
    builder.Styles.AllowSelf()
    .Allow(@"https://ajax.aspnetcdn.com/");
   });

啟動(dòng)發(fā)現(xiàn)，觀察網(wǎng)絡(luò)資源。瀏覽器已經(jīng)允許本地和遠(yuǎn)程資源。

總結(jié)

以上就是這篇文章的全部?jī)?nèi)容了，希望本文的內(nèi)容對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，謝謝大家對(duì)腳本之家的支持。

您可能感興趣的文章:

相關(guān)文章

最新評(píng)論