Presented at: https://shibuyaxss.connpass.com/event/128168/
(JNNFBCJU&YQMPSJOH"UUBDLTJOUIF1PTU9448PSME5BLBTIJ:POFVDIJ !MNU@TXBMMPX%FQBSUNFOUPG*OGPSNBUJPO4DJFODF 'BDVMUZPG4DJFODF UIF6OJWFSTJUZPG5PLZPIUUQTTIJGUKTJOGP
View Slide
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC5BLBTIJ:POFVDIJ‣ !MNU@TXBMMPX !ZOVDIZ‣ %FQBSUNFOUPG*OGPSNBUJPO4DJFODF 'BDVMUZPG4DJFODF UIF6OJWFSTJUZPG5PLZP‣ *ὑ8FC‣ 4&$$0/#FHJOOFSTDUGC‣ 4FDVSJUZ$BNQTFDDBNQ‣ 54(EPEPEPEP‣ 4FFIUUQTTIJGUKTJOGP
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC0VUMJOF‣ 1PTU9448PSME‣ 2VFTUJPO8IBUDPNFTBGUFS944 ‣ *OUSPEVDUJPOUP94-FBLTBOE944FBSDI‣ 0WFSWJFX‣ &YBNQMFT‣ 'SBNF$PVOU‣ 5JNJOH*OGPSNBUJPO‣ &⒎FDUT.JUJHBUJPO‣ $PODMVTJPO
1PTU9448PSME
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC 9443PBENBQUP1PTU9448PSME.JUJHBUJPO944FBSDI94-FBL4DSJQUMFTT "UUBDL4DSJQU (BEHFUT
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$SPTT4JUF4DSJQUJOH 944 BDPNNPOqBXJO8FCBQQMJDBUJPOT‣ .BOZEFWFMPQFSTBOESFTFBSDIFSTIBWFTUSVHHMFEXJUI944‣ .PEFSO8FCGSBNFXPSLTQSPWJEFQSFWFOUJPO‣ "VUPNBUJDFTDBQJOH‣ 'PPMQSPPG FHEBOHFSPVTMZ4FU*OOFS)5.-‣ 8FCCSPXTFSTBMTPIBWFEFGFOTFMJOFT‣ $POUFOU4FDVSJUZ1PMJDZ $41‣ 944"VEJUPS= $_GET['q'] ?>
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC 944.JUJHBUJPO944FBSDI94-FBL4DSJQUMFTT "UUBDL4DSJQU (BEHFUT3PBENBQUP1PTU9448PSME
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$POUFOU4FDVSJUZ1PMJDZ &YBNQMFTPG$MJFOUTJEF.JUJHBUJPOPG944‣ $POUFOU4FDVSJUZ1PMJDZ $41‣ 4QFDJpDBUJPOIUUQTXXXXPSH53$41JOUSP‣ *USFEVDFTUIFIBSNDBVTFECZDPOUFOUJOKFDUJPOBUUBDLT‣ "QQSPQSJBUFQPMJDJFTSFRVJSFBUUBDLFSTUPNBLFBCVODIPGF⒎PSUTUPFYFDVUF+4TVDDFTTGVMMZContent-Security-Policy: script-src 'nonce-4g34...34r'alert('Hello, CSP!')
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC944"VEJUPS &YBNQMFTPG$MJFOUTJEF.JUJHBUJPOPG944‣ 99441SPUFDUJPOIFBEFSEFpOFTUIFBDUJPOXIFO3FqFDUFE944JTGPVOE‣ 5IFSFBSFUXPNPEFT‣ pMUFS‣ CMPDL‣ 3FTFBSDIFSTIBWFUBDLMFEXJUICZQBTTJOHPG944"VEJUPS
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC&WPMVUJPOPG944 4DSJQU(BEHFUT$PEFSFVTJOHTJNJMBSUP301‣ &OUIVTJBTUTPG944IBWFUSJFEUPCZQBTT$41‣ 0OFPG4PMVUJPOT4DSJQU(BEHFUT -FLJFTFUBM ‣ *EFBSFVTFUSVTUFE MFHJUJNBUFTPVSDFDPEFTUPFYFDVUFBSCJUSBSZTDSJQUT DGSFUVSOPSJFOUFEQSPHSBNNJOH 301
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC4DSJQUMFTT"UUBDLT /PUPOMZ+4 CVUBMTP$44IFMQTBUUBDLFST‣ 3FTFBSDI2VFTUJPO *G+4FYFDVUJPOJTSFTUSJDUFE XIBUDBOBUUBDLFSTEP ‣ 0OFPG"OTXFST4DSJQUMFTT"UUBDLT )FJEFSJDIFUBM ‣ #BDLJOIJTUPSZ UIJTDMBTTPGBUUBDLTIBTCFFOJOWFTUJHBUFECZSFTFBSDIFST BOEXBTPGUFOSFEJTDPWFSFE‣ 8FMMLOPXO"UUSJCVUFSFBEJOH 'POUMJHBUVSFUFDIOJRVF GPOUSBOHFUFDIOJRVF FUD‣ /FXSFTFBSDIMJOFJNQPSUSFDVSTJPOUFDIOJRVFT 1FQF7JMB IUUQTWX[ROFUTMJEFTT@DTT@JOKFDUJPO@BUUBDLTQEG
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC94-FBLT944FBSDI "UUBDLTBJNJOHUIFQPTU944XPSME‣ 3FTFBSDI2VFTUJPO *TUIFSFZFUBOPUIFSBUUBDLJOHUFDIOJRVFXIFOBEWFSTBSJFTIBWFOPDPOUFOUJOKFDUJPOWVMOFSBCJMJUJFTJOUBSHFUT ‣ "OTXFS:FT‣ *EFBEBUBUPXIJDIDSPTTPSJHJOBDDFTTJTHSBOUFEIFMQTPOFFTUJNBUFUIFGFBUVSFT DIBSBDUFSJTUJDT PGB)551SFTQPOTF‣ &YBNQMF FYQMBJOFEMBUFS‣ $SPTTTJUF-FBLT 94-FBLT‣ $SPTTTJUF4FBSDI 944FBSDI
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC#"%/0/$& 54($5' "EEJUJPOBM/PUFTsession_start();$nonce = md5(session_id());$_SESSION['count'] = isset($_SESSION['count']) ?$_SESSION['count'] + 1 : 0;if ($_SESSION['count'] > 3){setcookie('flag', null, -1, '/');}?>content="script-src 'nonce-= $nonce ?>';">>/* ... */= $_GET['q'] ?>UIFOPODFJTpYFE:PVIBWFUPMFBLDPPLJFTXJUIPOMZUXPSFR
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC/PUFT 1PTU9448PSME‣ *O .JDIBFM;BMFXTLJ !MDBNUVGOPUFEUIBUUIFDPMMFDUJPOPGBUUBDLTBMUFSOBUJWFUP944IFQSPWJEFEIBWFBMNPTUTBNFDBQBCJMJUJFTBT944 1PTUDBSETGSPNUIFQPTU944XPSMEIUUQMDBNUVGDPSFEVNQDYQPTUYTT‣ FH3FSPVUJOHPGFYJTUJOHGPSNT‣ FHIJKBDLSFMBUJWF63-TXJUICBTF‣ DG3FMBUJWF1BUI0WFSXSJUF‣ 4FF"STIBE GPSUIFSFBMBOBMZTJT-BSHFTDBMFBOBMZTJTPGTUZMFJOKFDUJPOCZSFMBUJWFQBUIPWFSXSJUF IUUQTEMBDNPSHDJUBUJPODGN JE
*OUSPEVDUJPOUP 94-FBLTBOE944FBSDI
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$SPTTTJUF-FBLT BLB94-FBLT‣ $SPTTTJUFMFBLT 94-FBLBSFBGBNJMZPGCSPXTFSTJEFDIBOOFMUFDIOJRVFT‣ 94-FBLBUUBDLTBJNUPDJSDVNWFOUTFDVSJUZDPOUSPMTJO8FCCSPXTFSTCZUXPTUFQT‣ 3FRVFTUJOH‣ FHFNCFEEJOHBDSPTTTJUFDPOUFOU FHJGSBNF‣ 0CTFSWJOHCSPXTFSTJEFDIBOOFMT‣ FHBCVTJOHGFBUVSFTPG8FCCSPXTFST FH944"VEJUPS‣ 0OFPGUIFVTBHFT$SPTTTJUF4FBSDI 944FBSDI
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$SPTTTJUF4FBSDI BLB944FBSDI‣ $SPTTTJUFTFBSDI 944FBSDIBUUBDLJTBLJOEPGBUUBDLTXIJDIBTLTTPNFRVFTUJPOTWJDUJNGSPNBVTFSTCSPXTFSUPB8FCFOEQPJOU‣ FH*TUIFSFBFNBJMXIJDIDPOUBJOTUIFXPSEBQQMFJOUIFCPEZ GPSBOFNBJMTFSWJDF‣ FH*OUIFSFBQMBOUPHPTPNFXIFSFUIJTXFFLFOE GPSBDBMFOEBSTFSWJDF‣ 5IFBOTXFSPGUIFTFSWFSXJMMCFPCUBJOFECZVTJOH94-FBLT FHSFTQPOTFTJ[FFTUJNBUJPO FUD
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC0VUMJOF944FBSDI/05&)FSFJTTBNFOPUBUJPOBT(FMFSOUFS VTFE%VNNZ3FRVFTU3FTQPOTF$IBMMFOHF3FRVFTU3FTQPOTF7JDUJN4FSWJDF7JDUJN6TFS"UUBDLFS*OJUJBUF$PMMFDU 3FTVMUT
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC0VUMJOF944FBSDI/05&)FSFJTTBNFOPUBUJPOBT(FMFSOUFS VTFE%VNNZ3FRVFTU3FTQPOTF$IBMMFOHF3FRVFTU3FTQPOTF7JDUJN4FSWJDF7JDUJN6TFS"UUBDLFS*OJUJBUF$PMMFDU 3FTVMUT"OBUUBDLFSMVSFTBVTFSUPBQBHFUIBUJOJUJBUFTSFRVFTUTUPBTFSWJDF
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC0VUMJOF944FBSDI/05&)FSFJTTBNFOPUBUJPOBT(FMFSOUFS VTFE%VNNZ3FRVFTU3FTQPOTF$IBMMFOHF3FRVFTU3FTQPOTF7JDUJN4FSWJDF7JDUJN6TFS"UUBDLFS*OJUJBUF$PMMFDU 3FTVMUT/FYU "OBEWFSTBSZJOJUJBUFTEVNNZSFRVFTUTXIPTFSFTQPOTFTBSFLOPXOJOBEWBODF&YBNQMFBSFRVFTUXJUIBTFBSDIRVFSZXIPTFSFTVMUDBOOPUFYJTU
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC0VUMJOF944FBSDI/05&)FSFJTTBNFOPUBUJPOBT(FMFSOUFS VTFE%VNNZ3FRVFTU3FTQPOTF$IBMMFOHF3FRVFTU3FTQPOTF7JDUJN4FSWJDF7JDUJN6TFS"UUBDLFS*OJUJBUF$PMMFDU 3FTVMUT"GUFSSFRVFTUJOHEVNNJFT BOBEWFSTBSZTUBSUTUPJOJUJBUFSFRVFTUTXJUIBDUVBMTFBSDIRVFSJFT%J⒎CFUXFFOEBUBFYQPTFECZ94-FBLGPSEVNNJFTBOEPOFGPSDIBMMFOHFTDPSSFTQPOETUIFEJ⒎CFUXFFOSFTQPOTFT
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC0VUMJOF944FBSDI/05&)FSFJTTBNFOPUBUJPOBT(FMFSOUFS VTFE%VNNZ3FRVFTU3FTQPOTF$IBMMFOHF3FRVFTU3FTQPOTF7JDUJN4FSWJDF7JDUJN6TFS"UUBDLFS*OJUJBUF$PMMFDU 3FTVMUT"OBEWFSTBSZSFQFBUTUIFQSPDFTTBOE
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC0VUMJOF944FBSDI/05&)FSFJTTBNFOPUBUJPOBT(FMFSOUFS VTFE%VNNZ3FRVFTU3FTQPOTF$IBMMFOHF3FRVFTU3FTQPOTF7JDUJN4FSWJDF7JDUJN6TFS"UUBDLFS*OJUJBUF$PMMFDU 3FTVMUT"OBEWFSTBSZTFOETUIFDPMMFDUFESFTVMUTGSPNWJDUJNTCSPXTFSTUPJUTPXOTFSWFS
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC6NN JTJUSFBMJTUJD 8IBU94-FBLT944FBSDIHJWFTVT‣ 6OMJLF944 94-FBLT944FBSDI‣ EPFTOPUQSPWJEFBDUVBMDPOUFOUTPGEBUB‣ EVFUP4BNF0SJHJO1PMJDZ‣ EPQSPWJEFGFBUVSFT DIBSBDUFSJTUJDTPGEBUB‣ FH8IFUIFSUIFEBUBDPOUBJOTBTQFDJpDWBMVFPSOPU‣ 3FTQPOTFTXJUITFBSDISFTVMUTIBWFMPOHFSMFOHUIUIBOPOFXJUIOPSFTVMUT‣ FH8IFUIFSUIFEBUBIBTDPNQMFYJUZPSOPU‣ $PNQMFYJUZPGUFOSFTVMUTJOMPOHFSQSPDFTTJOHUJNF
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC)JTUPSZ94-FBLT/PXBEBZT BCVODIPG1P$TBSFCFDPNJOHBWBJMBCMFJOPOMJOF)551$BDIF$SPTT4JUF-FBLT IUUQTJSEBSDLDBUCMPHTQPUDPNIUUQDBDIFDSPTTTJUFMFBLTIUNM$SPTT4JUF$POUFOUBOE4UBUVT5ZQFT-FBLBHF IUUQTNFEJVNDPNCVHCPVOUZXSJUFVQDSPTTTJUFDPOUFOUBOETUBUVTUZQFTMFBLBHFFGEBCB&WBOTQSFTFOUFEUIFQSJNJUJWFGPSNPG944FBSDIXJUIJNHMPBEUJNJOH &WBOT $SPTTEPNBJOTFBSDIUJNJOH IUUQTTDBSZCFBTUTFDVSJUZCMPHTQPUDPNDSPTTEPNBJOTFBSDIUJNJOHIUNM(FMFSOUFSFUBMHBWFUIFTPQIJTUJDBUFEBUUBDLTGPSTJUFTXJUITFBSDIFOHJOFTOBNFE944FBSDI (FMFSOUFSFUBM
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC/PUFT94-FBLT944FBSDI‣ 94-FBLTIBWFBUUSBDUFEBUUFOUJPO CVUOPUFOPVHI‣ #PUIBDDVSBDZBOEF⒎FDUJWFOFTTIBWFCFFOJNQSPWFE‣ 3FGFSFODFT‣ /PUFYTMFBLTYTMFBLTIBTBDPNQSFIFOTJWFTVSWFZQBHF IUUQTHJUIVCDPNYTMFBLTYTMFBLTXJLJ-JOLT‣ ':*/FX94-FBLUFDIOJRVFTSFWFBMGSFTIXBZTUPFYQPTFVTFSJOGPSNBUJPOCZ1PSU4XJHHFS IUUQTQPSUTXJHHFSOFUEBJMZTXJHOFXYTMFBLUFDIOJRVFTSFWFBMGSFTIXBZTUPFYQPTFVTFSJOGPSNBUJPO‣ ':*94-FBLTBOE944FBSDICZ(PPHMF IUUQTTJUFTHPPHMFDPNTJUFCVHIVOUFSVOJWFSTJUZOPOWVMOYTMFBLT
&YBNQMF 'SBNF$PVOU
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FCXJOEPXMFOHUI "VTFGVMQSPQFSUZGPSDSPTTPSJHJOBUUBDLFST‣ XJOEPXMFOHUIXJOEPXGSBNFTMFOHUISFUVSOTUIFOVNCFSPGGSBNFTJOUIFXJOEPX 2VPUFEIUUQTEFWFMPQFSNP[JMMBPSHFO64EPDT8FC"1*8JOEPXMFOHUI‣ $SPTTPSJHJOBDDFTTUPXJOEPXMFOHUIJTBMMPXFEVOEFSTBNFPSJHJOQPMJDZ 401 4FFIUUQTEFWFMPQFSNP[JMMBPSHFO64EPDT8FC4FDVSJUZ4BNFPSJHJO@QPMJDZ‣ $BOUIJTQSPQFSUZCFVUJMJ[FEGPSTPNFLJOETPGBUUBDLT
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC944"VEJUPS "HPPEGSJFOEGPS944NBOJB‣ 944"VEJUPS‣ 99441SPUFDUJPOIFBEFSEFpOFTUIFBDUJPOXIFO3FqFDUFE944JTGPVOE‣ 5IFSFBSFUXPNPEFT pMUFSCMPDL‣ 3FTFBSDIFSTIBWFUBDLMFEXJUICZQBTTJOHPG944"VEJUPS
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC944"VEJUPSXJOEPXMFOHUI‣ 8IFOUIFSFJTTQFDJpDDPOUFOUUIBUDBOXBLF944"VEJUPSJOBQBHFBOEUIFQBHFIBT BUMFBTUPOFJGSBNF ‣ 8IFO944"VEJUPSCMPDLT XJOEPXMFOHUI‣ 8IFOOPU XJOEPXMFOHUI‣ 8FDBOHFUBCJUXIFUIFSUIFTQFDJpDDPOUFOUJTJODMVEFEPSOPUCZUIFQBHFBTMPOHBTUIFDPOUFOUDBOXBLF944"VEJUPS:BZlet secret_flag = true;
%&.054($5' 3&$0//05&.PSFTJNQMZ XFDBOEFUFDUUIFXBLFPG944"VEJUPSCZPCTFSWJOHIPXNBOZUJNFTJGSBNFTPOMPBEFWFOUPDDVST &YBNQMFD$5'pMFNBOBHFS IUUQTHJTUHJUIVCDPNMXJPBFBBFBBDEBDEDBE
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC4JEF&⒎FDUTPG#MPDLJOH 8IBU944"VEJUPSDBVTFT‣ *G944"VEJUPSCMPDLT ‣ TPNFQSPQFSUJFTNBZTFFNTUPCFEJ⒎FSFOUGSPNUIFWBMVFTXIFOUIFQBHFJTTIPXOVTVBMMZ‣ *G944"VEJUPSpMUFST ‣ 1BHFTUSVDUVSFT FTQFDJBMMZUIFqPXPGBQQSPQSJBUF+4FYFDVUJPOqPXDBOCFCSPLFO ‣ &YBNQMF9944/JHIUNBSFNPEFBUUBDL944"UUBDLT&YQMPJUJOH944'JMUFS !NBTBUPLJOVHBXB IUUQTXXXTMJEFTIBSFOFUNBTBUPLJOVHBXBYYOFO‣ ':**OGPSNBUJPOUIFGUBUUBDLTBCVTJOHCSPXTFST944pMUFS IUUQTXXXNCTEKQCMPHIUNM
&YBNQMF 5JNJOH*OGPSNBUJPO
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC5JNJOH"UUBDL 8FC "LJOEPGTJEFDIBOOFMBUUBDLT‣ 3FTFBSDI2VFTUJPO 8IBUBUUBDLFSTDBOEPXJUIUJNJOHJOGPSNBUJPO ‣ 'JSTU*EFB 'FMUFOBOE4DIOFJEFS ‣ #SPXTFSTDBDIFIBTF⒎FDUTPOUIFMPBEJOHUJNFPGSFTPVSDFT‣ $BDIFTBSFPGUFOBWBJMBCMFGPSSFTPVSDFTBDDFTTFESFDFOUMZ‣ )FODF UIFMPBEJOHUJNFSFqFDUTCSPXTJOHIJTUPSZ‣ 5IFSFBSFUXPWJFXQPJOUT‣ $POOFDUJWJUZEJSFDUPSDSPTTTJUF‣ 5BSHFU5JNJOHTFSWFSTJEFUJNJOHPSDMJFOUTJEFUJNJOH
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC%JSFDU5JNJOH"UUBDL #PSU[BOE#POFI $SPTCZFUBM ‣ $POEJUJPOT*OGPSNBUJPOUIBUBUUBDLFSTXBOUUPMFBLB⒎FDUTUPTJUFXJEFCFIBWJPS‣ "UUBDLT‣ )JEEFOCPPMFBOWBMVFTEBUBTJ[FDBOCFFTUJNBUFEXJUINFBTVSJOHQSPDFTTJOHUJNF #PSU[BOE#POFI ‣ 5PUIFCFTUPGNZLOPXMFEHF UIFZBSFUIFpSTUXIPEFTDSJCFEUIFDPODFQUPGEJSFDUUJNJOHBUUBDL‣ &WFOSFNPUFUJNJOHBUUBDLT BQQSPQSJBUFTUBUJTUJDBMNFUIPETHJWFBUUBDLFSTBDDVSBUFBOBMZTJT $SPTCZFUBM ‣ 5IFCPYUFTUUIFZQSFTFOUFEBSFPGUFOVTFEJOPUIFSSFTFBSDI
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$SPTTTJUF5JNJOH"UUBDL #PSU[BOE#POFI ‣ "UUBDLT‣ 8JUITFSWFSTJEFUJNJOH‣ *OJUJBMDPODFQUPG944FBSDIJTCBTFEPOTFSWFSTJEFUJNJOH‣ &WBOT NFOUJPOFECFGPSF‣ (FMFSOUFSFUBM NFOUJPOFECFGPSF‣ 8JUIDMJFOUTJEFUJNJOH‣ BMTPLOPXOBTCSPXTFSCBTFEUJNJOHBUUBDLT‣ &YBNQMFT‣ $BDIF'FMUFOBOE4DIOFJEFS 7BO(PFUIFNFUBM ‣ $444UPOF ,PUDIFSFUBM 4NJUIFUBM FUD
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$MJFOUTJEF5JNJOH BLB#SPXTFSCBTFE5JNJOH"UUBDL‣ *EFB‣ $BDIFTIBWFF⒎FDUTPOQSPDFTTJOHUJNF‣ "UUBDLT‣ 5IFpSTUDPODFQUPGUJNJOHBUUBDLJOUIF8FCEFSJWFTGSPNDBDIFCBTFEBUUBDLT 'FMUFOBOE4DIOFJEFS ‣ 'FBUVSFTJOUSPEVDFEPONPEFSOCSPXTFSTDBOCFOFXTJEFDIBOOFMTUIBUMFUBEWFSTBSJFTNFBTVSFNPSFBDDVSBUFUJNJOH7BO(PFUIFNFUBM ‣ FH$BDIF"1* PG4FSWJDF8PSLFS‣ FH"QQMJDBUJPO$BDIF
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$MJFOUTJEF5JNJOH BLB#SPXTFSCBTFE5JNJOH"UUBDL‣ *EFB‣ 3FOEFSJOHIBTBUJHIUSFMBUJPOXJUIBDPOUFOUUPCFSFOEFSFE‣ &WFOEBUBXIJDIDBOOPUCFUPVDIFEGSPN+4DBOCFSFOEFSFE‣ "UUBDLT‣ 1JYFMQFSGFDUUJNJOHBUUBDLT 4UPOF IUUQTXXXDPOUFYUJTDPNNFEJBEPXOMPBET1JYFM@1FSGFDU@5JNJOH@"UUBDLT@XJUI@)5.-@8IJUFQBQFSQEG‣ 1JYFMTUFBMJOHUJNJOHBUUBDLT ,PUDIFSFUBM IUUQTEMBDNPSHDJUBUJPODGN JE‣ "CVTFPG1BJOU"1* %5SBOTGPSNT BOE47(T 4NJUIFUBM IUUQTXXXVTFOJYPSHDPOGFSFODFXPPUQSFTFOUBUJPOTNJUI
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC.PSF4PQIJTUJDBUFE0OFT 1PTTJCMFBUUBDLTXBUDIJOHZPVSFOWJSPONFOUT‣ 4PGUXBSFCBTFENJDSPBSDIJUFDUVSBMBUUBDLT‣ 4PGUXBSFCBTFENJDSPBSDIJUFDUVSBMTJEFDIBOOFMBUUBDLTFYQMPJUUJNJOHBOECFIBWJPSEJ⒎FSFODFTUIBUBSFQBSUJBMMZDBVTFEUISPVHINJDSPBSDIJUFDUVSBMPQUJNJ[BUJPOT JF EJ⒎FSFODFTUIBUBSFOPUBSDIJUFDUVSBMMZEPDVNFOUFE 4PGUXBSFCBTFE.JDSPBSDIJUFDUVSBM"UUBDLTIUUQTBSYJWPSHBCT‣ 3FTFBSDI2VFTUJPOT+BWB4DSJQU XIJDIJTFYFDVUFEJOUIFTBOECPY JTFOPVHIUPCFVTFEGPSNJDSPBSDIJUFDUVSBMBUUBDLT
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC'SPN+44BOECPY 4PGUXBSFCBTFENJDSPBSDIJUFDUVSBMBUUBDLT‣ 3FTVMUT‣ 5JNFSTBWBJMBCMFJO+BWB4DSJQUJTFOPVHIGPSBUUBDLFSTUPQFSGPSNNJDSPBSDIJUFDUVSBMBUUBDLT 4DIXBS[FM 'BOUBTUJD5JNFSTBOE8IFSFUP'JOE5IFN)JHI3FTPMVUJPO.JDSPBSDIJUFDUVSBM"UUBDLTJO+BWB4DSJQUIUUQTHSVTTDDpMFTGBOUBTUJDUJNFSTQEG‣ 5IFZEFNPOTUSBUFEBOFX%3".CBTFEDPWFSUDIBOOFMXJUI+4‣ ,FZTUSPLFUJNJOHBUUBDLTJOTBOECPYFE+4 -JQQFUBM 1SBDUJDBM,FZTUSPLF5JNJOH"UUBDLTJO4BOECPYFE+BWB4DSJQUIUUQTMJOLTQSJOHFSDPNDIBQUFS@‣ +45FNQMBUF"UUBDLT 4DIXBS[FUBM +BWB4DSJQU5FNQMBUF"UUBDLT"VUPNBUJDBMMZ*OGFSSJOH)PTU*OGPSNBUJPOGPS5BSHFUFE&YQMPJUTIUUQTXXXOETTTZNQPTJVNPSHXQDPOUFOUVQMPBETOETT@#@4DIXBS[@QBQFSQEG‣ /05&4JUF*TPMBUJPOBOEEJTBCMJOH4IBSFE"SSBZ#V⒎FSDVSSFOUMZNJUJHBUFUIPTFBUUBDLT
&⒎FDUT.JUJHBUJPO
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC&⒎FDUTPG94-FBLT 94MFBLTQSPWJEFBQBSUPGJOGPSNBUJPO OPUUIFXIPMF‣ &WFOTFDVSF8FCTJUFTIBWFBQPUFOUJBMUPCFUBSHFUFE‣ &WFOJG)551IFBEFSTBSFTFUTFDVSFMZ‣ FH3FRVFTUBOE$PORVFS&YQPTJOH$SPTT0SJHJO3FTPVSDF4J[F IUUQTUPNWHQBQFSTSFRVFTU@BOE@DPORVFS@VTFOJYQEG‣ DG6944‣ *UOFFETBMPUPGF⒎PSUTUPNJUJHBUFDPNQMFUFMZ ‣ )BWFZPVFWFSCFFOUIPVHIUBCPVUEBUBMFBLBHFGSPNUJNJOHJOGPSNBUJPO ‣ /FXQPMJDJFTUPNJUJHBUFUIFNIBWFCFFOEJTDVTTFE CVU
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC.JUJHBUJPO 8IBUDBOXFEPGPSUIPTFBUUBDLT‣ "MPUPGTFDVSJUZIFBEFSTBUUSJCVUFT‣ 4BNFTJUF$PPLJF‣ 9'SBNF0QUJPOT GSBNFBODFTUPST PG$41‣ $SPTT0SJHJO0QFOFS1PMJDZ $001‣ $SPTT0SJHJO3FTPVSDF1PMJDZ $031‣ $SPTT0SJHJO3FTPVSDF#MPDLJOH $03#‣ 'FUDI.FUBEBUB‣ 4PNFPGUIFNIBWFCFFOTUJMMEJTDVTTFE‣ ,FFQXBUDIJOHXDXFCBQQTFDJO(JU)VC
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC4BNFTJUF$PPLJF 3FTUSJDUJPOPGDPPLJFTVTBHFBUDSPTTTJUFSFRVFTUJOH‣ 1SPCMFN$SPTTPSJHJOSFRVFTUTXJUIDPPLJFTPGUFODBVTFUIFTFDVSJUZJTTVFTTVDIBT$43'‣ 4PMVUJPO4BNFTJUF$PPLJF‣ #Z4BNF4JUFBUUSJCVUFTPGDPPLJF TJUFPXOFSTDBOQSPIJCJUTCSPXTFSTGSPNTFOEJOHDSPTTTJUFSFRVFTUTXJUIDPPLJFT‣ 4BNF4JUF-BY0OMZUPQMFWFMOBWJHBUJPOTJTBMMPXFE‣ 4BNF4JUF4USJDU/PDSPTTTJUFSFRVFTUXJUIDPPLJFTJTBMMPXFE‣ 4FF4BNF4JUFDPPLJFTFYQMBJOFE IUUQTXFCEFWTBNFTJUFDPPLJFTFYQMBJOFE
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC'SBNJOH3FTUSJDUJPO 9'SBNF0QUJPOT GSBNFBODFTUPST PG$41‣ (FOFSBM1SPCMFN 3FBM8PSME&YBNQMFTPGUFOSFMJFTPOXJOEPXMFOHUI IUUQTHJUIVCDPNYTMFBLTYTMFBLTXJLJ3FBM8PSME&YBNQMFT‣ $BTFXIFOBQBHFJTGSBNFE CPUIPGUIFQBHF DIJMEBOEJUTQBSFOUIBWFSFGFSFODFTUPAXJOEPXAUPFBDIPUIFS‣ GSPNDIJMEUPQBSFOUXJOEPXQBSFOUPSXJOEPXUPQ‣ GSPNQBSFOUUPDIJME GSBNF@FMNFOUDPOUFOU8JOEPX‣ 4PMVUJPOT9'SBNF0QUJPOT GSBNFBODFTUPST PG$41‣ 3FTUSJDUJOHDSPTTTJUFGSBNJOHSFEVDFTBUUBDLTVSGBDFT
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$SPTT0SJHJO0QFOFS1PMJDZ 3FTUSJDUJPOPGVTJOHAXJOEPXASFGFSFODFGSPNPQFOFST‣ $BTFXIFOXJOEPXPQFOJTFYFDVUFE UIFPQFOFEXJOEPXDBOBDDFTTUPAXJOEPXAPGJUTPQFOFS‣ XJOEPXPQFOFSMPDBUJPOIUUQFWJMDPN ‣ 4PMVUJPO$SPTT0SJHJO0QFOFS1PMJDZ $001‣ $SPTT0SJHJO0QFOFS1PMJDZIFBEFSEFpOFTXIFOAXJOEPXPQFOFSAJTBWBJMBCMF‣ 4FFBOOFWLDPPQNE BTFNJGPSNBMEFpOJUPOPG$001 IUUQTHJTUHJUIVCDPNBOOFWLGEEDDGGCEBDGF
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC$SPTT0SJHJO3FTPVSDF1PMJDZ 3FTUSJDUJPOPGUIFBWBJMBCMFPSJHJOPGSFTPVSDFT‣ 1SPCMFN$SPTTPSJHJOOPDPSTSFRVFTUTDBVTFTFDVSJUZJTTVFTTVDIBTTJEFDIBOOFMBUUBDLT‣ DG4FSWJDF8PSLFSBCVTF 7BO(PFUIFNFUBM ‣ 4PMVUJPO$SPTT0SJHJO3FTPVSDF1PMJDZ $031‣ 5IJTIFBEFSQSFWFOUCSPXTFSTGSPNMPBEJOHSFTPVSDFTGFUDIFECZDSPTT TJUFcPSJHJOOPDPSTSFRVFTUT‣ /05&GPSNFSMZ UIJTJTDBMMFE'SPN0SJHJOCross-Origin-Resource-Policy: same-site | same-origin
TIJGUKTJOGP(JNNFCJU BUMFBTU&YQMPSJOH5FDIOJRVFTPOCJU-FBLBHFJOUIF8FC'FUDI.FUBEBUB *OGPUIBUIFMQTTFSWFSEFUFDUVOVTVBMSFRVFTUTGPSSFTPVSDFT‣ 1SPCMFN‣ 4FSWFSTDBOOPULOPXIPXUIFJSSFTPVSDFTXJMMCFVTFE‣ 4PMVUJPO'FUDI.FUBEBUB‣ *UXPVMECFIFMQGVMJGTFSWFSTDPVMENBLFNPSFJOUFMMJHFOUEFDJTJPOTBCPVUXIFUIFSPSOPUUPSFTQPOEUPBHJWFOSFRVFTUCBTFEPOUIFXBZUIBUJU`TNBEF IUUQTNJLFXFTUHJUIVCJPTFDNFUBEBUB‣ 1SPWJEFEXJUI4FD'FUDIIFBEFST
5IBOLZPVGPS-JTUFOJOH!MNU@TXBMMPX !ZOVDIZIUUQTTIJGUKTJOGP