Beyaz Listeyi Delmek
Bir CSP politikası script-src 'self' https://cdn.altay.example diyor. Ama bu CDN üzerinde callback parametresini gövdeye aynen yazan bir JSONP uç noktası var. Beyaz listeye alınmış bir JSONP kaynağı, CSP’yi etkisiz kılar (callback=alert(1)//). Dosyanın sonundaki ödül iki katmanlı: önce Base64, sonra zlib (deflate) ile sıkıştırılmış.
Challenge dosyaları
- csp-analysis.txt (0.6 KB)
Bu challenge ne öğretiyor?
- Base64, ikili veriyi 64 karakterlik bir alfabeyle metne çeviren kodlamadır; anahtarsız geri çözülür.
- zlib/gzip, veriyi sıkıştırır; sıkıştırılmış blok ham baytların içinde saklanabilir.
- Web challenge'ları sayfa kaynağını okumayı, HTTP ve çerez mantığını anlamayı ve geliştiricinin geride bıraktığı izleri fark etmeyi öğretir.