CSPBypass.com, ein Tool, das ethischen Hackern dabei hilft, restriktive Content Security Policies (CSP) zu umgehen und XSS-Schwachstellen (Cross-Site Scripting) auf Websites auszunutzen, auf denen Injektionen durch CSPs blockiert werden, die nur bestimmte Whitelist-Domains zulassen.
Willkommen bei CSPBypass.com, einem Tool, das ethischen Hackern helfen soll, restriktive Content Security Policies (CSP) zu umgehen und XSS-Schwachstellen (Cross-Site Scripting) auf Websites auszunutzen, auf denen Injektionen durch CSPs blockiert werden, die nur bestimmte Whitelist-Domains zulassen.
Besuchen Sie CSPBypass.com, um nach vorhandenen CSP-Bypass-Gadgets zu suchen, mit denen Sie XSS erlangen können, oder um eigene Erkenntnisse beizutragen.
Erstellen Sie das Docker-Image und führen Sie es lokal aus, um die statische UI mit dem gebündelten Datensatz bereitzustellen:
docker build -t cspbypass .
docker run --rm -p 8080:80 cspbypass
Öffnen Sie http://localhost:8080/ in Ihrem Browser, und Sie können den Datensatz ohne externe Aufrufe abfragen.
Moderne Websites verwenden häufig Content Security Policies (CSP), um sich gegen XSS-Angriffe zu schützen, indem sie die Quellen ausführbarer Skripte und anderer Inhalte einschränken. In solchen Fällen blockiert die CSP den Payload selbst dann, wenn ein Angreifer HTML/JavaScript in eine Website injizieren kann, und erlaubt nur das Laden bestimmter Whitelist-Domains oder Ressourcen.
Ein CSP-Bypass-Gadget ist eine Technik, die es dem Angreifer ermöglicht, JavaScript trotz der restriktiven Richtlinie auszuführen, indem sie Schlupflöcher in der Richtlinienkonfiguration ausnutzt. Dabei handelt es sich häufig um JSONP-Endpunkte oder JavaScript-Bibliotheken, die auf einer der Whitelist-Domains gehostet werden.
Dieses Projekt dient ausschließlich ethischen Zwecken. Die hier geteilten Tools und Techniken sollen Sicherheitsforschern, ethischen Hackern und Penetrationstestern helfen, mögliche CSP-Fehlkonfigurationen zu identifizieren, Schwachstellen verantwortungsvoll zu melden und die Websicherheit insgesamt zu verbessern.
Hinweis: Stellen Sie stets sicher, dass Sie die Erlaubnis haben, eine Website oder ein System zu testen, und befolgen Sie alle geltenden Gesetze sowie Praktiken der verantwortungsvollen Offenlegung.
Dieses Tool soll dazu beitragen, Webanwendungen zu schützen, indem es Schwachstellen in deren CSP-Konfiguration identifiziert. Wenn Sie eine neue Schwachstelle entdecken, befolgen Sie stets die Praktiken der verantwortungsvollen Offenlegung und melden Sie das Problem dem Website-Besitzer oder -Entwickler, bevor Sie es veröffentlichen.
Wir freuen uns über Beiträge aus der Community! Wenn Sie ein neues CSP-Bypass-Gadget entdeckt haben, teilen Sie es uns gerne mit.
So können Sie beitragen:
www.example.com[TAB]<script src=https://www.example.com?cb=alert(1)></script>
alert(1)), reichen Sie bitte einen PoC ein, der dies widerspiegelt. Bitte versuchen Sie, data.tsv in alphabetischer Reihenfolge zu halten. Das hilft, Duplikate zu erkennen. Fügen Sie Ihren Handle in credits.txt hinzu, wenn Sie auf cspbypass.com genannt werden möchten.Ihre Beiträge werden dazu beitragen, das Web für alle sicherer zu machen, indem sie das Verständnis von CSPs verbessern und aufzeigen, wie diese gegen Bypass-Techniken gestärkt werden können.
Diese Datei enthält jede Domain, die aus Content-Security-Policy-Headern über einen vollständigen Common-Crawl-Datensatz extrahiert wurde. Insbesondere wurden alle script-src-Direktiven gesammelt, mit Rückgriff auf default-src, wenn kein script-src vorhanden war.
Die Website unter csp-domains.html zeigt aus Gründen der Lesbarkeit nur Domains an, die in 10 oder mehr CSPs vorkommen. Die vollständige, ungefilterte Liste wird hier für alle veröffentlicht, die sie nützlich finden.
Bei Fragen wenden Sie sich an @renniepak.nl auf Bluesky.