16-08-30

本日のコード(1)

参考URL: http://blog.hash-c.co.jp/2013/12/Content-Security-Policy-CSP.html

<?php
header('Content-Security-Policy: default-src "self"; connect-src "self"');
?>
<!-- イベント発動が拒否されてくれる -->
<body onload="alert(document.cookie)">
</body>

リソースの種類やドメインを指定して、
htmlのイベント属性を禁止したりしてくれるが、紹介されている
スライドによれば実際にはまだXSS出来る余地があるそう。
<body>とか<html>タグまでを強制的に閉じるアイデアは面白い。

本日のコード(2)

以下のようにするとリダイレクトしてくれる。
(クライアントサイドでのリダイレクト。)

<!-- contentの数値部分は待機秒数、相対パスでもOK -->
<meta http-equiv="refresh" content="5;URL=./a.php">

Write-upを読んだ

IceCTF-2016 : kitty-70

参考URL:
IceCTF - 70 - Kitty - Web | RawSec

Kali Linuxにhashidとhash identifierというコマンドがあり、
使用されている可能性の高いハッシュ方式を列挙してくれる。

<?php
print(hash("haval224,4", "my_string"));
/* => 57c6fb153b63fd7a06d724db2c9455ad1f441a8c6e86b5af5bec2a08 */
?>

のようなものを、

hashid "57c6fb153b63fd7a06d724db2c9455ad1f441a8c6e86b5af5bec2a08"

hash-identifier
(略..)
HASH: 57c6fb153b63fd7a06d724db2c9455ad1f441a8c6e86b5af5bec2a08

とすると候補となる方式を列挙してくれる。
いずれも候補1、2位にSHA-224、Haval-224を挙げた。