ASP.NET Core中如何利用Csp標頭對抗Xss攻擊

來源：本站原創(chuàng)|時間：2020-01-11|欄目：ASP.NET|點擊：次

內(nèi)容安全策略（CSP）是一個增加的安全層，可幫助檢測和緩解某些類型的攻擊，包括跨站點腳本（XSS）和數(shù)據(jù)注入攻擊。這些攻擊用于從數(shù)據(jù)竊取到站點破壞或惡意軟件分發(fā)的所有內(nèi)容（深入CSP）

簡而言之，CSP是網(wǎng)頁控制允許加載哪些資源的一種方式。例如，頁面可以顯式聲明允許從中加載JavaScript，CSS和圖像資源。這有助于防止跨站點腳本（XSS）攻擊等問題。

它也可用于限制協(xié)議，例如限制通過HTTPS加載的內(nèi)容。CSP通過 Content-Security-Policy HTTP響應(yīng)中的標頭實現(xiàn)。

啟用CSP,您需要配置Web服務(wù)器以返回Content-Security-Policy HTTP標頭。那么在這篇文章中，我們將要嘗試將CSP添加到ASP.NET Core應(yīng)用程序中。

app.Use(async (ctx, next) =>
  {
  ctx.Response.Headers.Add("Content-Security-Policy",
    "default-src 'self'; report-uri /cspreport");
  await next();
  });

在Home/Index中引入cdn文件，然后我們啟動項目，看看會發(fā)生什么！

運行并觀察錯誤。加載頁面時，瀏覽器拒絕從遠程源加載。

所以我們可以組織CSP來控制我們的白名單，在配置當中需要填寫來源以及內(nèi)容，以下是常用限制的選項。

來源：

*: 允許任何網(wǎng)址。
‘self': 允許所提供頁面的來源。請注意，單引號是必需的。
‘none': 不允許任何來源。請注意，單引號是必需的。
Host: 允許指定的互聯(lián)網(wǎng)主機（按名稱或IP地址）。通配符（星號字符）可用于包括所有子域，例如http：//*.foo.com
‘unsafe-line': 允許內(nèi)聯(lián)腳本
‘nonce-[base64-value]': 允許具有特定nonce的內(nèi)聯(lián)腳本（使用一次的數(shù)字）。對于每個HTTP請求/響應(yīng)，應(yīng)該對nonce進行加密和唯一。

指令：

script-src：定義有效的JavaScript源
style-src：定義樣式表的有效來源
img-src：定義有效的圖像源
connect-src：定義可以進行AJAX調(diào)用的有效源
font-src：定義有效的字體來源
object-src：定義<object>，<embed>和<applet>元素的有效源
media-src：定義有效的音頻和視頻源
form-action：定義可用作HTML <form>操作的有效源。
default-src：指定加載內(nèi)容的默認策略

我們可以在可重用的中間件中封裝構(gòu)建和添加CSP頭。以下是一個讓您入門的示例。你可以根據(jù)需要擴展它。首先，創(chuàng)建一個用于保存源的類。

public class CspOptions
 {
  public List<string> Defaults { get; set; } = new List<string>();
  public List<string> Scripts { get; set; } = new List<string>();
  public List<string> Styles { get; set; } = new List<string>();
  public List<string> Images { get; set; } = new List<string>();
  public List<string> Fonts { get; set; } = new List<string>();
  public List<string> Media { get; set; } = new List<string>();
 }

開發(fā)一個中間件一定是需要一個構(gòu)造器的，這將用于.net core 的注入到運行環(huán)境中。

public sealed class CspOptionsBuilder 
 { 
  private readonly CspOptions options = new CspOptions(); 
  
  internal CspOptionsBuilder() { } 
 
  public CspDirectiveBuilder Defaults { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Scripts { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Styles { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Images { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Fonts { get; set; } = new CspDirectiveBuilder(); 
  public CspDirectiveBuilder Media { get; set; } = new CspDirectiveBuilder(); 
 
  internal CspOptions Build() 
  { 
   this.options.Defaults = this.Defaults.Sources; 
   this.options.Scripts = this.Scripts.Sources; 
   this.options.Styles = this.Styles.Sources; 
   this.options.Images = this.Images.Sources; 
   this.options.Fonts = this.Fonts.Sources; 
   this.options.Media = this.Media.Sources; 
   return this.options; 
  } 
 } 
 
 public sealed class CspDirectiveBuilder 
 { 
  internal CspDirectiveBuilder() { } 
 
  internal List<string> Sources { get; set; } = new List<string>(); 
 
  public CspDirectiveBuilder AllowSelf() => Allow("'self'"); 
  public CspDirectiveBuilder AllowNone() => Allow("none"); 
  public CspDirectiveBuilder AllowAny() => Allow("*"); 
 
  public CspDirectiveBuilder Allow(string source) 
  { 
   this.Sources.Add(source); 
   return this; 
  } 
 }

好了，我們創(chuàng)建一個中間件。

namespace XSSDefenses.XSSDefenses.MiddlerWare
{
 public sealed class CspOptionMiddlerWare
 {
  private const string HEADER = "Content-Security-Policy";
  private readonly RequestDelegate next;
  private readonly CspOptions options;

  public CspOptionMiddlerWare(
   RequestDelegate next, CspOptions options)
  {
   this.next = next;
   this.options = options;
  }

  public async Task Invoke(HttpContext context)
  {
   context.Response.Headers.Add(HEADER, GetHeaderValue());
   await this.next(context);
  }

  private string GetHeaderValue()
  {
   var value = "";
   value += GetDirective("default-src", this.options.Defaults);
   value += GetDirective("script-src", this.options.Scripts);
   value += GetDirective("style-src", this.options.Styles);
   value += GetDirective("img-src", this.options.Images);
   value += GetDirective("font-src", this.options.Fonts);
   value += GetDirective("media-src", this.options.Media);
   return value;
  }
  private string GetDirective(string directive, List<string> sources)
   => sources.Count > 0 ? $"{directive} {string.Join(" ", sources)}; " : "";
 }
}

以及設(shè)置它的擴展方法。

namespace XSSDefenses.XSSDefenses.Extensions
{
 public static class CspMiddlewareExtensions
 {
  public static IApplicationBuilder UseCsp(
    this IApplicationBuilder app, Action<CspOptionsBuilder> builder)
  {
   var newBuilder = new CspOptionsBuilder();
   builder(newBuilder);
 
   var options = newBuilder.Build();
   return app.UseMiddleware<CspOptionMiddlerWare>(options);
  }
 }
}

我們現(xiàn)在可以在Startup類中配置中間件。

app.UseCsp(builder =>
   {
    builder.Styles.AllowSelf()
    .Allow(@"https://ajax.aspnetcdn.com/");
   });

啟動發(fā)現(xiàn)，觀察網(wǎng)絡(luò)資源。瀏覽器已經(jīng)允許本地和遠程資源。

總結(jié)

以上就是這篇文章的全部內(nèi)容了，希望本文的內(nèi)容對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，謝謝大家對我們的支持。

上一篇：asp.net大文件上傳解決方案實例代碼

欄目：ASP.NET

下一篇：ASP.NET MVC實現(xiàn)依賴注入的完整過程

本文標題：ASP.NET Core中如何利用Csp標頭對抗Xss攻擊

本文地址：http://mengdiqiu.com.cn/a1/ASP_NET/10877.html

更多ASP.NET

欧美大屁股bbbbxxxx,狼人大香伊蕉国产www亚洲,男ji大巴进入女人的视频小说,男人把ji大巴放进女人免费视频,免费情侣作爱视频

ASP.NET

ASP.NET Core中如何利用Csp標頭對抗Xss攻擊

您可能感興趣的文章

閱讀排行

本欄相關(guān)

隨機閱讀