搜索

[14024] 2019-04-24_三种对CORS错误配置的利用方法

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2019-04-24_三种对CORS错误配置的利用方法 三 种 对 C O R S 错 误 配 置 的 利 用 方 法 s e c i s t   F r e e B u f   2 0 1 9 - 0 4 - 2 4 同 源 策 略 （ 同 源 策 略 （ S O P ） 限 制 了 应 用 程 序 之 间 的 信 息 共 享 ， 并 且 仅 允 许 在 托 管 应 用 程 序 的 域 内 共 享 。 这 有 效 防 止 了 系 ） 限 制 了 应 用 程 序 之 间 的 信 息 共 享 ， 并 且 仅 允 许 在 托 管 应 用 程 序 的 域 内 共 享 。 这 有 效 防 止 了 系 统 机 密 信 息 的 泄 露 。 但 与 此 同 时 ， 也 带 来 了 另 外 的 问 题 。 随 着 统 机 密 信 息 的 泄 露 。 但 与 此 同 时 ， 也 带 来 了 另 外 的 问 题 。 随 着 W e b 应 用 程 序 和 微 服 务 使 用 的 日 益 增 长 ， 出 于 实 应 用 程 序 和 微 服 务 使 用 的 日 益 增 长 ， 出 于 实 用 目 的 往 往 需 要 将 信 息 从 一 个 子 域 传 递 到 另 一 个 子 域 ， 或 者 在 不 同 域 之 间 进 行 传 递 （ 例 如 将 访 问 令 牌 和 会 话 标 用 目 的 往 往 需 要 将 信 息 从 一 个 子 域 传 递 到 另 一 个 子 域 ， 或 者 在 不 同 域 之 间 进 行 传 递 （ 例 如 将 访 问 令 牌 和 会 话 标 识 符 ， 传 递 给 另 一 个 应 用 程 序 ） 。 识 符 ， 传 递 给 另 一 个 应 用 程 序 ） 。 为 了 允 许 跨 域 通 信 ， 开 发 人 员 必 须 使 用 不 同 的 技 术 来 绕 过 S O P 并 传 递 敏 感 信 息 ， 以 至 于 现 今 也 成 为 了 一 个 棘 手 的 安 全 问 题 。 因 此 ， 为 了 在 不 影 响 应 用 程 序 安 全 状 态 的 情 况 下 实 现 信 息 共 享 ， 在 H T M L 5 中 引 入 了 跨 源 资 源 共 享 （ C O R S ） 。 但 问 题 也 随 之 而 来 ， 许 多 人 为 了 方 便 干 脆 直 接 使 用 默 认 的 配 置 ， 或 是 由 于 缺 乏 对 此 的 了 解 而 导 致 了 错 误 的 配 置 。 因 此 ， 作 为 安 全 分 析 师 / 工 程 师 ， 了 解 如 何 利 用 错 误 配 置 的 C O R S 标 头 非 常 重 要 。 这 也 将 有 助 于 你 在 灾 难 发 生 之 前 更 好 地 对 其 进 行 补 救 。 什 么 是 什 么 是   C O R S ？ ？ C O R S 是 一 个 W 3 C 标 准 ， 全 称 是 " 跨 域 资 源 共 享 " （ C r o s s - o r i g i n   r e s o u r c e   s h a r i n g ） 。 它 允 许 浏 览 器 向 跨 源 ( 协 议   +   域 名 +   端 口 ) 服 务 器 ， 发 出 X M L H t t p R e q u e s t 请 求 ， 从 而 克 服 了 A J A X 只 能 同 源 使 用 的 限 制 。 C O R S 需 要 浏 览 器 和 服 务 器 同 时 支 持 。 它 的 通 信 过 程 ， 都 是 浏 览 器 自 动 完 成 ， 不 需 要 用 户 参 与 。 对 于 开 发 者 来 说 ， C O R S 通 信 与 同 源 的 A J A X 通 信 没 有 差 别 ， 代 码 完 全 一 样 。 浏 览 器 一 旦 发 现 A J A X 请 求 跨 源 ， 就 会 自 动 添 加 一 些 附 加 的 头 信 息 ， 有 时 还 会 多 出 一 次 附 加 的 请 求 ， 但 用 户 不 会 有 感 觉 。 因 此 ， 实 现 C O R S 通 信 的 关 键 是 服 务 器 。 只 要 服 务 器 实 现 了 C O R S 接 口 ， 就 可 以 跨 源 通 信 。 关 键 关 键   C O R S   标 头 标 头 有 许 多 与 C O R S 相 关 的 H T T P 标 头 ， 但 以 下 三 个 响 应 标 头 对 于 安 全 性 最 为 重 要 ： A c c e s s - C o n t r o l - A l l o w - O r i g i n ： 指 定 哪 些 域 可 以 访 问 域 资 源 。 例 如 ， 如 果 r e q u e s t e r . c o m 想 要 访 问 p r o v i d e r . c o m 的 资 源 ， 那 么 开 发 人 员 可 以 使 用 此 标 头 安 全 地 授 予 r e q u e s t e r . c o m 对 p r o v i d e r . c o m 资 源 的 访 问 权 限 。 A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s ： 指 定 浏 览 器 是 否 将 使 用 请 求 发 送 c o o k i e 。 仅 当 a l l o w - c r e d e n t i a l s 标 头 设 置 为 t r u e 时 ， 才 会 发 送 C o o k i e 。 A c c e s s - C o n t r o l - A l l o w - M e t h o d s ： 指 定 可 以 使 用 哪 些 H T T P 请 求 方 法 （ G E T ， P U T ， D E L E T E 等 ） 来 访 问 资 源 。 此 标 头 允 许 开 发 人 员 通 过 在 r e q u e s t e r . c o m 请 求 访 问 p r o v i d e r . c o m 的 资 源 时 ， 指 定 哪 些 方 法 有 效 来 进 一 步 增 强 安 全 性 。 三 个 攻 击 场 景 三 个 攻 击 场 景 利 用 利 用 C O R S 标 头 中 错 误 配 置 的 通 配 符 （ 标 头 中 错 误 配 置 的 通 配 符 （ * ） ） 最 常 见 的 C O R S 配 置 错 误 之 一 是 错 误 地 使 用 诸 如 （ * ） 之 类 的 通 配 符 ， 允 许 域 请 求 资 源 。 这 通 常 设 置 为 默 认 值 ， 这 意 味 着 任 何 域 都 可 以 访 问 此 站 点 上 的 资 源 。 例 如 ： G E T   / a p i / u s e r i n f o . p h p H o s t :   w w w . v i c t i m . c o m O r i g i n :   w w w . v i c t i m . c o m
当 你 发 送 上 述 请 求 时 ， 你 将 获 得 具 有 A c c e s s - C o n t r o l - A l l o w - O r i g i n 标 头 设 置 的 响 应 。 请 参 阅 以 下 响 应 代 码 。 在 此 示 例 中 ， 标 头 配 置 了 通 配 符 （ * ） 。 这 意 味 着 任 何 域 都 可 以 访 问 资 源 。 在 测 试 我 们 客 户 的 W e b 应 用 程 序 时 ， 我 们 注 意 到 了 这 种 错 误 配 置 。 我 们 能 够 利 用 它 来 获 取 用 户 信 息 ， 如 姓 名 ， 用 户 I D ， 电 子 邮 件 I D ， 并 能 够 将 此 信 息 发 送 到 外 部 服 务 器 。 在 下 图 中 ， 我 们 将 R E Q U E S T   O r i g i n 从 受 害 者 域 修 改 为 攻 击 者 域 。 以 下 是 我 们 收 到 的 响 应 ， 这 意 味 着 受 害 域 允 许 访 问 来 自 所 有 站 点 的 资 源 。 我 们 的 攻 击 案 例 中 的 T e s t i n g . a a a . c o m 网 站 。 由 于 该 站 点 共 享 来 自 任 何 站 点 的 信 息 ， 因 此 让 我 们 进 一 步 的 使 用 我 们 自 己 的 域 来 利 用 它 。 我 们 创 建 了 名 为 h t t p s : / / t e s t i n g . a a a . c o m 的 域 ， 并 将 其 嵌 入 漏 洞 利 用 代 码 ， 以 便 从 易 受 攻 击 的 应 用 程 序 中 窃 取 机 密 信 息 。 当 受 害 者 在 浏 览 器 中 打 开 h t t p s : / / t e s t i n g . a a a . c o m 时 ， 它 会 检 索 敏 感 信 息 并 发 送 给 攻 击 者 的 服 务 器 。 以 下 是 我 们 可 以 收 集 到 的 信 息 ， 如 下 图 所 示 。 将 信 任 域 通 配 符 作 为 将 信 任 域 通 配 符 作 为   O r i g i n 另 一 种 常 见 的 错 误 配 置 是 允 许 与 部 分 验 证 的 域 名 共 享 信 息 。 例 如 ， 以 下 请 求 ： 响 应 如 下 ： H T T P / 1 . 0   2 0 0   O K A c c e s s - C o n t r o l - A l l o w - O r i g i n :   * A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e G E T   / a p i / u s e r i n f o . p h p H o s t :   p r o v i d e r . c o m O r i g i n :   r e q u e s t e r . c o m H T T P / 1 . 0   2 0 0   O K A c c e s s - C o n t r o l - A l l o w - O r i g i n :   r e q u e s t e r . c o m A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e
考 虑 一 下 开 发 人 员 是 否 配 置 了 C O R S 来 验 证 “ O r i g i n   h e a d e r ” U R L ， 白 名 单 域 只 是 “ r e q u e s t e r . c o m ” 。 现 在 ， 当 攻 击 者 发 起 如 下 请 求 时 ： 服 务 器 会 响 应 ： 发 生 这 种 情 况 的 原 因 可 能 是 后 端 配 置 错 误 ， 例 如 ： 我 们 在 客 户 的 一 个 应 用 程 序 中 遇 到 了 这 个 问 题 。 主 机 域 “ p r o v i d e r . c o m ” 信 任 以 主 机 名 “ r e q u e s t e r . c o m ” 结 尾 的 所 有 来 源 ， 例 如 “ a t t a c k e r r e q u e s t e r . c o m ” 。 因 此 ， 我 们 将 o r i g i n 头 部 篡 改 为 a t t a c k e r r e q u e s t e r . c o m 并 继 续 执 行 请 求 。 在 以 下 响 应 中 ， 相 同 的 o r i g i n 在 响 应 A c c e s s - c o n t r o l - A l l o w - O r i g i n 标 头 中 ， 这 意 味 着 p r o v i d e r . c o m 域 允 许 共 享 资 源 到 以 r e q u e s t e r . c o m 结 尾 的 域 。 因 此 ， 我 们 可 以 创 建 一 个 由 列 入 白 名 单 的 域 名 组 成 的 新 域 名 。 然 后 ， 将 恶 意 站 点 嵌 入 利 用 代 码 从 而 获 取 受 害 者 站 点 上 的 敏 感 信 息 。 使 用 使 用   X S S   实 现 实 现   C O R S   的 利 用 的 利 用 开 发 人 员 用 于 对 抗 C O R S 利 用 的 一 种 防 御 机 制 ， 是 将 频 繁 请 求 访 问 信 息 的 域 列 入 白 名 单 。 但 这 并 不 完 全 安 全 ， 因 为 只 要 白 名 单 域 中 的 一 个 子 域 易 受 到 其 他 攻 击 （ 如 X S S ） ， 那 么 也 可 以 进 行 C O R S 利 用 。 让 我 们 看 一 个 示 例 ， 以 下 代 码 将 允 许 r e q u e s t e r . c o m 的 子 域 访 问 p r o v i d e r . c o m 的 资 源 配 置 。 G E T   / a p i / u s e r i n f o . p h p H o s t :   e x a m p l e . c o m C o n n e c t i o n :   c l o s e O r i g i n :   a t t a c k e r r e q u e s t e r . c o m H T T P / 1 . 0   2 0 0   O K A c c e s s - C o n t r o l - A l l o w - O r i g i n :   a t t a c k e r r e q u e s t e r . c o m A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e i f   ( $ _ S E R V E R [ ' H T T P _ H O S T ' ]   = =   ' * r e q u e s t e r . c o m ' )   {     / / A c c e s s   d a t a     e l s e {   / /   u n a u t h o r i z e d   a c c e s s } } i f   ( $ _ S E R V E R [ ' H T T P _ H O S T ' ]   = =   ' * . r e q u e s t e r . c o m ' )
假 设 用 户 可 以 访 问 s u b . r e q u e s t e r . c o m 而 不 是 r e q u e s t e r . c o m ， 并 且 s u b . r e q u s t e r . c o m 易 受 X S S 攻 击 。 那 么 用 户 就 可 以 使 用 X S S 来 利 用 p r o v i d e r . c o m 。 我 们 在 同 一 个 域 上 托 管 了 两 个 应 用 程 序 。 C O R S 应 用 程 序 托 管 在 t e s t i n g c o r s . c o m 上 ， 另 一 个 应 用 程 序 则 托 管 在 p a v a n . t e s t i n g c o r s . c o m 上 ， 该 应 用 程 序 易 受 X S S 的 攻 击 。 使 用 这 个 易 受 攻 击 的 X S S 子 域 ， 我 们 可 以 从 t e s t i n g c o r s . c o m 上 获 取 敏 感 信 息 。 我 们 在 “ N a m e ” 参 数 中 注 入 了 恶 意 j a v a s c r i p t   p a y l o a d 。 页 面 加 载 后 ， 脚 本 将 被 执 行 ， 并 从 t e s t i n g c o r s . c o m 中 获 取 敏 感 信 息 。 总 结 总 结 C O R S 是 上 榜 O W A S P   T O P   1 0 的 安 全 漏 洞 。 在 实 现 站 点 之 间 信 息 共 享 的 过 程 中 ， 人 们 往 往 会 忽 略 C O R S 配 置 的 重 要 性 。 作 为 开 发 人 员 或 安 全 专 家 ， 了 解 此 漏 洞 以 及 如 何 对 它 进 行 利 用 至 关 重 要 。 * 参 考 来 源 ： 参 考 来 源 ： w e 4 5 ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 推 荐 荐 阅 阅 读 读 i f   ( $ _ S E R V E R [ ' H T T P _ H O S T ' ]   = =   ' * . r e q u e s t e r . c o m ' )   {     / / A c c e s s   d a t a     e l s e {   / /   u n a u t h o r i z e d   a c c e s s } }

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理