如何使用cspparse評估內容安全策略CSP的有效性

 關于cspparse 

cspparse是一款針對內容安全策略的升級工具，在該工具的幫助下，廣大研究人員可以針對自己所實施的內容安全策略CSP進行安全審計和評估。

該工具使用了Google的API來獲取CSP Header，并將獲取到的信息以ReconJSON格式返回給研究人員。除此之外，該工具還能夠解析目標站點的HTML，并檢索HTML代碼中<meta>標簽包含的內容安全策略CSP規則。

 ReconJSON 

ReconJSON是一種基于Recon數據標準的JSON格式，ReconJSON這種數據格式可以有效地存儲關于目標主機的相關信息。ReconJSON標準文件后綴名為.json，其內部數據結構如下所示：

[
{"type":"Host"},
{"type":"Host"},
{"type":"Host"},
{"type":"Host"}
]

ReconJSON標準定義的數據類型如下：

Host：Host對象用于描述指定主機的相關信息；

DNS：DNS對象用于描述指定主機的DNS配置；

Service：Service對象用于描述一個在目標端口運行的指定程序；

ServiceDescriptor：ServiceDescriptor對象用于描述Service對象的一個指定屬性或配置；

 工具安裝 

該工具基于Go語言開發，因此廣大研究人員首先需要在本地設備上安裝并配置好Go環境。

接下來，我們就可以使用go get命令來下載和安裝cspparse了：

~ ? go get -u github.com/lc/cspparse

cspparse命令將會被安裝到“$GOPATH/bin”路徑下，我們可以在“$GOPATH/src/github.com/lc/cspparse”路徑下找到cspparse的源碼。

除此之外，我們還可以通過源碼進行手動安裝和項目構建：

~ ? git clone https://github.com/lc/cspparse
~ ? cd cspparse
~ ? go build

 工具使用 

~ ? cspparse <domain / url>

演示樣例

~ ? cspparse https://www.facebook.com

 Docker使用 

~ > docker build -t cspparse .

Docker下運行

~ > docker run --rm -t cspparse <domain / url>