相關(guān)文章

• 

  nginx配置相關(guān)策略Content-Security-Policy、Referrer-policy

  最近在安全測試中發(fā)現(xiàn)了一下網(wǎng)站的問題： 主要是配置一些參數(shù)：這些可以前端配置，也可以在nginx中進(jìn)行配置 在nginx的server中添加請求頭信息： add_header Content-Security-Policy “upgrade-insecure-requests;connect-src *”; add_header X-XSS-Protection “1; mode=block” always; add_header X-Content-Type-Opt

  2024年02月02日

  瀏覽(16)
• 

  安全頭響應(yīng)頭(一)Content-Security-Policy_add_header content-security-policy

  備注： 取決于’瀏覽器’的’支持’程度 [3]、來限制’哪些外部資源(如JavaScript、CSS、圖像等)‘可以’被加載’,從’哪些url’加載 大大增強(qiáng)了’網(wǎng)頁的安全性’,攻擊者即使發(fā)現(xiàn)了漏洞,\\\'也沒法’注入腳本 ②? 啟用CSP的兩種方法 方式1： -- 添加’響應(yīng)頭’,注意\\\"單雙引號\\\"嵌

  2024年04月28日

  瀏覽(21)
• 

  安全頭響應(yīng)頭(一)Content-Security-Policy

  一??Content Security Policy? CSP 中文翻譯 ①? 背景引入 ②? 啟用CSP的 兩種 方法 ③? ? CSP語法 ④? CSP指令匯總 ? 各個(gè)指令的解讀 Content Security Policy (CSP)中blob:的用法?? object-src blob? blob協(xié)議 ⑤ scp官網(wǎng)default-src指令解讀? ? default-src指令 ⑥???? CSP 常用 source 值 source相關(guān)參考?

  2024年02月07日

  瀏覽(29)
• 

  CSP內(nèi)容安全策略原理與繞過

  Content Security Policy （CSP）內(nèi)容安全策略，是一個(gè)附加的安全層，有助于檢測并緩解某些類型的攻擊，包括跨站腳本（XSS）和數(shù)據(jù)注入攻擊。 CSP的特點(diǎn)就是他是在瀏覽器層面做的防護(hù)，是和同源策略同一級別，除非瀏覽器本身出現(xiàn)漏洞，否則不可能從機(jī)制上繞過。 CSP只允許被

  2024年02月10日

  瀏覽(19)

• 「 網(wǎng)絡(luò)安全術(shù)語解讀 」內(nèi)容安全策略CSP詳解

  引言：什么是CSP，它為什么可以防御一些常見的網(wǎng)絡(luò)攻擊，比如XSS攻擊，具體原理是什么？以及如何繞過CSP？ CSP（Content Security Policy，內(nèi)容安全策略）是一種網(wǎng)絡(luò)安全技術(shù)，它通過限制網(wǎng)頁中可以加載的資源（如腳本和圖像），來防止惡意攻擊，如跨站腳本攻擊（XSS）。CSP的

  2024年02月02日

  瀏覽(21)

• 關(guān)于允許TRACE方法,HTTP X-XSS-Protection缺失,HTTP Content-Security-Policy缺失,X-Frame-Options Header未配置安全處理方法

  提示：文章寫完后，目錄可以自動(dòng)生成，如何生成可參考右邊的幫助文檔 基于Apache Web服務(wù)器對一下發(fā)現(xiàn)的安全問題進(jìn)行配置處理，包含允許TRACE方法,HTTP X-XSS-Protection缺失,HTTP Content-Security-Policy缺失,X-Frame-Options Header未配置,HTTP X-Download-Options缺失,HTTP X-Content-Type-Options缺失,HTTP

  2024年02月07日

  瀏覽(20)

• Refused to frame ‘XXX‘ because an ancestor violates the following Content Security Policy directive:

  問題：Chrome無痕模式下，無法訪問iframe嵌套的頁面，頁面類似白屏 定位原因：CSP安全策略問題，但是服務(wù)端無法支持修改 解決：option中添加一句請求頭 所有option：

  2023年04月09日

  瀏覽(23)

• Refused to load the script ‘xxxx.js‘ because it violates the following Content Security Policy ...

  在使用Electron封裝一些模塊的時(shí)候，出現(xiàn)以下錯(cuò)誤： Refused to load the script ‘https://unpkg.com/xxxx.js’ because it violates the following Content Security Policy directive: “script-src ‘self’ ‘unsafe-eval’ ‘unsafe-inline’ data:”. Note that ‘script-src-elem’ was not explicitly set, so ‘script-src’ is used as a f

  2024年02月09日

  瀏覽(19)

• Web 安全之 Permissions Policy（權(quán)限策略）詳解

  Permissions Policy 為 web 開發(fā)人員提供了明確聲明哪些功能可以在網(wǎng)站上使用，哪些功能不能在網(wǎng)站上使用的機(jī)制?？梢栽O(shè)置一組策略，用于限制站點(diǎn)代碼可以訪問的 API 或者修改瀏覽器對某些特性的默認(rèn)行為。設(shè)置?Permissions-Policy?可以在代碼庫不斷演進(jìn)的同時(shí)強(qiáng)制執(zhí)行最佳實(shí)踐

  2024年02月09日

  瀏覽(44)

• 安全之安全(security2)博客目錄導(dǎo)讀

  研究方向：安全之安全 研究內(nèi)容：ARMRISC-V安全架構(gòu)、TF-A/TEE/Hafnium之安全、GP安全認(rèn)證IDA逆向分析、靜動(dòng)態(tài)代碼分析、低功耗等，歡迎您的關(guān)注 ???? ????????1、ARM安全架構(gòu)及其發(fā)展趨勢（轉(zhuǎn)載） ????????2、ARMv9及其關(guān)鍵特性介紹（轉(zhuǎn)載） ????????3、ARMv9-A：如何利

  2024年02月13日

  瀏覽(28)