cors

最近斗哥在学习CORS的漏洞和相关的一些知识梳理，网站如果存在这个漏洞就会有用户敏感数据被窃取的风险。 0x00 从浏览器的同源策略说起 SOP，同源策略 (Same Origin Policy) ，该策略是浏览器的一个安全基石，如果没有同源策略，那么，你打开了一个合法网站，又打开了一个恶意网站。恶意网站的脚本能够随意的操作合法网站的任何可操作资源，没有任何限制。 (图片来自网络) 浏览器的同源策略规定：不同域的客户端脚本在没有明确授权的情况下，不能读写对方的资源。那么何为同源呢，即两个站点需要满足同协议，同域名，同端口这三个条件。 SOP是一个很好的策略，但是随着Web应用的发展，网站由于自身业务的需求，需要实现一些跨域的功能，能够让不同域的页面之间能够相互访问各自页面的内容。 CORS，跨域资源共享（Cross-origin resource sharing） ，是H5提供的一种机制，WEB应用程序可以通过在HTTP增加字段来告诉浏览器，哪些不同来源的服务器是有权访问本站资源的，当不同域的请求发生时，就出现了跨域的现象。 0x01 跨域访问的一些场景： 1.比如后端开发完一部分业务代码后，提供接口给前端用，在前后端分离的模式下，前后端的域名是不一致的，此时就会发生跨域访问的问题。 2.程序员在本地做开发，本地的文件夹并不是在一个域下面，当一个文件需要发送ajax请求

CORS是一个W3C标准，全称是"跨域资源共享"（Cross-origin resource sharing）。 它允许浏览器向跨源服务器，发出 XMLHttpRequest 请求，从而克服了AJAX只能同源使用的限制。 本文详细介绍CORS的内部机制。 一、简介 CORS需要浏览器和服务器同时支持。目前，所有浏览器都支持该功能，IE浏览器不能低于IE10。 整个CORS通信过程，都是浏览器自动完成，不需要用户参与。对于开发者来说，CORS通信与同源的AJAX通信没有差别，代码完全一样。浏览器一旦发现AJAX请求跨源，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会有感觉。 因此，实现CORS通信的关键是服务器。只要服务器实现了CORS接口，就可以跨源通信。 二、两种请求 浏览器将CORS请求分成两类：简单请求（simple request）和非简单请求（not-so-simple request）。 只要同时满足以下两大条件，就属于简单请求。 （1) 请求方法是以下三种方法之一： HEAD GET POST （2）HTTP的头信息不超出以下几种字段： Accept Accept-Language Content-Language Last-Event-ID Content-Type：只限于三个值 application/x-www-form

一、什么是同源策略 同源的意思是同协议、同域名、同端口，A网站只能网站A网站的资源，不能访问B网站的资源，例如 二、漏洞检测 这里用key师傅的靶场来验证 DoraBox 当返回包中存在以下字段时，Access-Control-Allow-Origin: *表示任何域都可以访问当前资源 Access-Control-Allow-Origin: * Access-Control-Allow-Headers: X-Requested-With Access-Control-Allow-Credentials: true 当在请求头里添加Origin: http://123.com之后发包，发现Access-Control-Allow-Origin : http://123.com 三、安利一个cors检测脚本 CORScanner 要检查特定域的CORS配置错误： python cors_scan.py -u example.com 要检查特定网址的CORS配置错误： python cors_scan.py -u http://example.com/restapi 要检查带有特定标头的CORS配置错误： python cors_scan.py -u example.com -d "Cookie: test" 要检查多个域/ URL的CORS配置错误： python cors_scan

1. 安装模块django-cors-headers pip3 install django-cors-headers 2. 配置django项目的settings.py文件 配置INSTALLED_APPS INSTALLED_APPS = [ ..., 'corsheaders' ] 配置中间件, 注意顺序 MIDDLEWARE = [ ..., 'corsheaders.middleware.CorsMiddleware', 'django.middleware.common.CommonMiddleware' ] 再settings.py文件末尾添加下面内容 ''' 跨域设置 ''' CORS_ALLOW_CREDENTIALS = True CORS_ORIGIN_ALLOW_ALL = True CORS_ORIGIN_WHITELIST = () CORS_ALLOW_METHODS = ( 'DELETE', 'GET', 'OPTIONS', 'PATCH', 'POST', 'PUT', 'VIEW', ) CORS_ALLOW_HEADERS = ( 'accept', 'accept-encoding', 'authorization', 'content-type', 'dnt', 'origin', 'user-agent', 'x-csrftoken'