前提

目標

DVWAにログインする
- 以下コードをkali上で実行しDVWAを立ち上げる。
- http://localhost/DVWA-master/index.php
- admin/passwordでログイン
セキュリティレベルを下げる。
- メニュー下にあるDVWA securityへアクセス
- デフォルトがimpossibleなので、このままではハッキングできない。なのでlowに変更する

# ファイルへのアクセス許可する
root@kali:~# service apache2 start
# DB_createできるようにする
root@kali:~# service mysql start

挙動を確認する
- 外部ソースのスクリプトを埋め込めるとのことなので、入れてみる。
  - 例："https://yubinbango.github.io/yubinbango/yubinbango.js"
- consoleを見ると、CSPによって弾かれていることが分かる。
- postの結果からCSPの設定をみると、script-srcが設定されていた。
挙動からの考察
- CSPによって、参照可能srcドメインが制限されている。
- 許可されたドメインの中に「https://pastebin.com 」がなぜか入っている。これは、作成したhtmlを呼び出し先に埋め込むサイトであり、ここからscriptを差し込める余地がある。
- DVWAで予め用意されているデータを拝借し実行する。「https://pastebin.com/raw/R570EE00 」
- 以下画像のようにalert()が実行されたことが分かる。
最後に
- XXS対策でCSPを設定していても、その設定が不適切だと、今回のように突破される。

おわり