ASP.NET Core中如何利用Csp標(biāo)頭對抗Xss攻擊
內(nèi)容安全策略（CSP）是一個增加的安全層，可幫助檢測和緩解某些類型的攻擊，包括跨站點腳本（XSS）和數(shù)據(jù)注入攻擊。這些攻擊用于從數(shù)據(jù)竊取到站點破壞或惡意軟件分發(fā)的所有內(nèi)容（深入CSP）
簡而言之，CSP是網(wǎng)頁控制允許加載哪些資源的一種方式。例如，頁面可以顯式聲明允許從中加載JavaScript，CSS和圖像資源。這有助于防止跨站點腳本（XSS）攻擊等問題。
它也可用于限制協(xié)議，例如限制通過HTTPS加載的內(nèi)容。CSP通過 Content-Security-Policy HTTP響應(yīng)中的標(biāo)頭實現(xiàn)。
啟用CSP,您需要配置Web服務(wù)器以返回Content-Security-Policy HTTP標(biāo)頭。那么在這篇文章中，我們將要嘗試將CSP添加到ASP.NET Core應(yīng)用程序中。
app.Use(async (ctx, next) =>
{
ctx.Response.Headers.Add("Content-Security-Policy",
"default-src 'self'; report-uri /cspreport");
await next();
});
在Home/Index中引入cdn文件，然后我們啟動項目，看看會發(fā)生什么！
運行并觀察錯誤。加載頁面時，瀏覽器拒絕從遠程源加載。
所以我們可以組織CSP來控制我們的白名單，在配置當(dāng)中需要填寫來源以及內(nèi)容，以下是常用限制的選項。
來源：
*: 允許任何網(wǎng)址。
‘self': 允許所提供頁面的來源。請注意，單引號是必需的。
‘none': 不允許任何來源。請注意，單引號是必需的。
Host: 允許指定的互聯(lián)網(wǎng)主機（按名稱或IP地址）。通配符（星號字符）可用于包括所有子域，例如http：//*.foo.com
‘unsafe-line': 允許內(nèi)聯(lián)腳本
‘nonce-[base64-value]': 允許具有特定nonce的內(nèi)聯(lián)腳本（使用一次的數(shù)字）。對于每個HTTP請求/響應(yīng)，應(yīng)該對nonce進行加密和唯一。
指令：
script-src：定義有效的JavaScript源
style-src：定義樣式表的有效來源
img-src：定義有效的圖像源
connect-src：定義可以進行AJAX調(diào)用的有效源
font-src：定義有效的字體來源
object-src：定義<object>，<embed>和<applet>元素的有效源
media-src：定義有效的音頻和視頻源
form-action：定義可用作HTML <form>操作的有效源。
default-src：指定加載內(nèi)容的默認(rèn)策略
我們可以在可重用的中間件中封裝構(gòu)建和添加CSP頭。以下是一個讓您入門的示例。你可以根據(jù)需要擴展它。首先，創(chuàng)建一個用于保存源的類。
public class CspOptions
{
public List<string> Defaults { get; set; } = new List<string>();
public List<string> Scripts { get; set; } = new List<string>();
public List<string> Styles { get; set; } = new List<string>();
public List<string> Images { get; set; } = new List<string>();
public List<string> Fonts { get; set; } = new List<string>();
public List<string> Media { get; set; } = new List<string>();
}
開發(fā)一個中間件一定是需要一個構(gòu)造器的，這將用于.net core 的注入到運行環(huán)境中。
public sealed class CspOptionsBuilder
{
private readonly CspOptions options = new CspOptions();
internal CspOptionsBuilder() { }
public CspDirectiveBuilder Defaults { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Scripts { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Styles { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Images { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Fonts { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Media { get; set; } = new CspDirectiveBuilder();
internal CspOptions Build()
{
this.options.Defaults = this.Defaults.Sources;
this.options.Scripts = this.Scripts.Sources;
this.options.Styles = this.Styles.Sources;
this.options.Images = this.Images.Sources;
this.options.Fonts = this.Fonts.Sources;
this.options.Media = this.Media.Sources;
return this.options;
}
}
public sealed class CspDirectiveBuilder
{
internal CspDirectiveBuilder() { }
internal List<string> Sources { get; set; } = new List<string>();
public CspDirectiveBuilder AllowSelf() => Allow("'self'");
public CspDirectiveBuilder AllowNone() => Allow("none");
public CspDirectiveBuilder AllowAny() => Allow("*");
public CspDirectiveBuilder Allow(string source)
{
this.Sources.Add(source);
return this;
}
}
好了，我們創(chuàng)建一個中間件。
namespace XSSDefenses.XSSDefenses.MiddlerWare
{
public sealed class CspOptionMiddlerWare
{
private const string HEADER = "Content-Security-Policy";
private readonly RequestDelegate next;
private readonly CspOptions options;
public CspOptionMiddlerWare(
RequestDelegate next, CspOptions options)
{
this.next = next;
this.options = options;
}
public async Task Invoke(HttpContext context)
{
context.Response.Headers.Add(HEADER, GetHeaderValue());
await this.next(context);
}
private string GetHeaderValue()
{
var value = "";
value += GetDirective("default-src", this.options.Defaults);
value += GetDirective("script-src", this.options.Scripts);
value += GetDirective("style-src", this.options.Styles);
value += GetDirective("img-src", this.options.Images);
value += GetDirective("font-src", this.options.Fonts);
value += GetDirective("media-src", this.options.Media);
return value;
}
private string GetDirective(string directive, List<string> sources)
=> sources.Count > 0 ? $"{directive} {string.Join(" ", sources)}; " : "";
}
}
以及設(shè)置它的擴展方法。
namespace XSSDefenses.XSSDefenses.Extensions
{
public static class CspMiddlewareExtensions
{
public static IApplicationBuilder UseCsp(
this IApplicationBuilder app, Action<CspOptionsBuilder> builder)
{
var newBuilder = new CspOptionsBuilder();
builder(newBuilder);
var options = newBuilder.Build();
return app.UseMiddleware<CspOptionMiddlerWare>(options);
}
}
}
我們現(xiàn)在可以在Startup類中配置中間件。
app.UseCsp(builder =>
{
builder.Styles.AllowSelf()
.Allow(@"https://ajax.aspnetcdn.com/");
});
啟動發(fā)現(xiàn)，觀察網(wǎng)絡(luò)資源。瀏覽器已經(jīng)允許本地和遠程資源。
總結(jié)
以上就是這篇文章的全部內(nèi)容了，希望本文的內(nèi)容對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，謝謝大家對腳本之家的支持。
相關(guān)文章
深入.net調(diào)用webservice的總結(jié)分析
本篇文章是對.net調(diào)用webservice進行了詳細(xì)的總結(jié)與分析，需要的朋友參考下2013-05-05
Javascript調(diào)用Webservice的多種方法
通過xmlhttp+webservice(原始方法)2009-02-02
asp.net對圖片的讀寫，實現(xiàn)將圖片保存到數(shù)據(jù)庫中，然后再讀取顯示的實現(xiàn)代碼。2009-11-11
.net core是最近討論頻率很高的話題，下面這篇文章主要給大家介紹了關(guān)于利用.NET Core如何獲取操作系統(tǒng)中各種信息的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，需要的朋友可以參考借鑒，下面來一起看看吧2018-05-05
.net?程序通過?crontab?無法啟動手動執(zhí)行腳本啟動的方法
.net 網(wǎng)關(guān)程序需要設(shè)置定時重啟，按照日常操作先把正在運行的 PID kill 掉后，再執(zhí)行啟動服務(wù)。通過腳本無法啟動，試著把 .net 程序?qū)懗煞?wù)后，發(fā)現(xiàn)是可以正常重啟的，本文給大家介紹下.net 程序通過 crontab 無法啟動手動執(zhí)行腳本啟動，感興趣的朋友一起看看吧2021-12-12
引用cs中變量的實現(xiàn)方法2008-07-07
Ajax Throws Sys.WebForms.PageRequestManagerErrorException wi
注冊腳本： ScriptManager.RegisterStartupScript(this, typeof(string), "Message", "alert('error message');", true); 即可解決，困惑了我一下午。2008-11-11
基于MVC4+EasyUI的Web開發(fā)框架之附件上傳組件uploadify的使用
這篇文章主要介紹了基于MVC4+EasyUI的Web開發(fā)框架之附件上傳組件uploadify的使用,需要的朋友可以參考下2017-08-08
Visual Studio 2017 ASP.NET Core開發(fā)
這篇文章主要為大家詳細(xì)介紹了Visual Studio 2017 ASP.NET Core開發(fā)，具有一定的參考價值，感興趣的小伙伴們可以參考一下2017-03-03
