搜索

[16865] 2021-06-04_如何使用Corsair_scan测试跨域资源共享中的安全问题

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2021-06-04_如何使用Corsair_scan测试跨域资源共享中的安全问题 如 何 使 用 C o r s a i r _ s c a n 测 试 跨 域 资 源 共 享 中 的 安 全 问 题 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 6 - 0 4 关 于 关 于 C o r s a i r _ s c a n C o r s a i r _ s c a n 是 一 款 功 能 强 大 的 安 全 工 具 ， 可 以 帮 助 广 大 研 究 人 员 测 试 跨 域 资 源 共 享 （ C O R S ） 中 的 错 误 配 置 问 题 。 什 么 是 跨 域 资 源 共 享 （ 什 么 是 跨 域 资 源 共 享 （ C O R S ） ） C O R S   （ C r o s s - O r i g i n   R e s o u r c e   S h a r i n g ， 跨 域 资 源 共 享 ） 是 一 个 系 统 ， 它 由 一 系 列 传 输 的 H T T P 头 组 成 ， 这 些 H T T P 头 决 定 浏 览 器 是 否 阻 止 前 端   J a v a S c r i p t   代 码 获 取 跨 域 请 求 的 响 应 。 同 源 安 全 策 略   默 认 阻 止 “ 跨 域 ” 获 取 资 源 。 但 是   C O R S   给 了 w e b 服 务 器 这 样 的 权 限 ， 即 服 务 器 可 以 选 择 ， 允 许 跨 域 请 求 访 问 到 它 们 的 资 源 。 C O R S 是 一 种 机 制 ， 允 许 从 提 供 第 一 个 资 源 的 域 之 外 的 另 一 个 域 请 求 网 页 上 的 受 限 资 源 。 如 果 未 正 确 配 置 ， 未 经 授 权 的 域 将 能 够 访 问 这 些 资 源 。 在 实 现 C O R S 时 ， 最 常 见 的 安 全 问 题 就 是 无 法 验 证 请 求 者 的 合 法 身 份 ， 我 们 也 经 常 会 看 到 A c c e s s - C o n t r o l - A l l o w - O r i g i n 的 值 会 被 设 置 为 “ * ” 。 不 幸 的 是 ， 这 属 于 默 认 设 置 ， 因 此 将 允 许 W e b 上 的 任 何 域 访 问 该 站 点 的 资 源 。 工 具 安 装 工 具 安 装 该 项 目 基 于 P y t h o n   3 . 9 开 发 ， 但 理 论 上 支 持 在 P y t h o n   3 . x 环 境 下 正 常 工 作 。 C o r s a i r _ s c a n 被 设 计 为 以 P y t h o n 模 块 的 方 式 使 用 ， 因 此 最 简 单 的 安 装 方 式 就 是 使 用 下 列 p i p 命 令 ： 工 具 使 用 工 具 使 用 当 前 版 本 的 C o r s a i r _ s c a n 需 要 以 P y t h o n 包 的 形 式 使 用 ， 但 我 们 计 划 在 将 来 发 布 一 个 命 令 行 工 具 版 本 。 本 工 具 中 执 行 C O R S 扫 描 的 方 法 为 “ c o r s a i r _ s c a n ” ， 具 体 定 义 如 下 ： c o r s a i r _ s c a n 接 收 请 求 列 表 和 用 于 启 用 / 禁 用 请 求 中 证 书 检 查 的 参 数 。 输 入 ： 输 入 ： d a t a   [ L i s t ] ： 请 求 列 表 ， 每 一 个 请 求 都 是 一 个 字 典 结 构 ， 其 中 包 含 请 求 的 相 关 数 据 。 其 中 包 括 u r l _ d a t a   [ D i c t ] ： 包 含 所 有 请 求 相 关 数 据 的 字 典 ； u r l   [ S t r i n g ] ： 请 求 的 目 标 U R L ； v e r b   [ S t r i n g ] ： 请 求 的 操 作 （ G E T 、 P O S T 、 D E L E T E 等 ） ； p a r a m s [ S t r i n g ] ： 请 求 中 的 主 体 内 容 ； h e a d e r s   [ D i c t ] ： 请 求 中 的 所 有 H e a d e r ； v e r i f y   [ B o o l e a n ]   [ D e f a u l t :   T r u e ] ： 给 每 一 个 请 求 中 的 c o r s a i r _ s c a n _ s i n g l e _ u r l 发 送 这 个 值 ； 输 出 ： 输 出 ： f i n a l _ r e p o r t   [ L i s t ] ： 包 含 测 试 执 行 的 完 整 报 告 ； r e p o r t   [ L i s t ] ： 每 一 份 单 独 报 告 的 详 情 列 表 ； s u m m a r y   [ D i c t ] ： 扫 描 所 检 测 到 的 问 题 详 情 ； p i p 3   i n s t a l l   c o r s a i r _ s c a n   - - u s e r
工 具 使 用 样 例 工 具 使 用 样 例 响 应 结 果 响 应 结 果 i m p o r t   c o r s a i r _ s c a n u r l _ d a t a   =   { } d a t a   =   [ ] v e r b   =     ' G E T ' u r l   =   ' h t t p s : / / e x a m p l e . c o m / ' p a r a m s   =   ' u s e r = u s e r 1 & p a s s w o r d = 1 2 3 4 ' h e a d e r s   =   { ' A c c e p t ' :   ' t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 ' ,                       ' A c c e p t - L a n g u a g e ' :   ' e n - G B , e n ; q = 0 . 5 ' ,   ' C o n n e c t i o n ' :   ' k e e p - a l i v e ' ,   ' U p g r a d e - I n s e c u r e - R e q u e s t s ' :   ' 1 ' ,                       ' O r i g i n ' :   ' h t t p s : / / e x a m p l e . c o m ' ,                       ' H o s t ' :   ' e x a m p l e . c o m ' } u r l _ d a t a [ ' v e r b ' ]   =   v e r b u r l _ d a t a [ ' u r l ' ]   =   u r l u r l _ d a t a [ ' p a r a m s ' ]   =   p a r a m s u r l _ d a t a [ ' h e a d e r s ' ]   =   h e a d e r s d a t a . a p p e n d ( u r l _ d a t a ) p r i n t   ( c o r s a i r _ s c a n . c o r s a i r _ s c a n ( d a t a ,   v e r i f y = T r u e ) ) { ' r e p o r t ' :   [ { ' f a k e _ o r i g i n ' :   { ' A c c e s s - C o n t r o l - A l l o w - O r i g i n ' :   ' h t t p s : / / s c a r y m o n s t e r . c o m ' ,                                                           ' O r i g i n ' :   ' h t t p s : / / s c a r y m o n s t e r . c o m ' ,                                                           ' c r e d e n t i a l s ' :   T r u e ,                                                           ' e r r o r ' :   F a l s e ,                                                           ' m i s c o n f i g u r e d ' :   T r u e ,                                                           ' s t a t u s _ c o d e ' :   2 0 0 } ,                           ' p o s t - d o m a i n ' :   { ' A c c e s s - C o n t r o l - A l l o w - O r i g i n ' :   ' h t t p s : / / e x a m p l e . c o m . s c a r y m o n s t e r . c o m ' ,                                                           ' O r i g i n ' :   ' h t t p s : / / e x a m p l e . c o m . s c a r y m o n s t e r . c o m ' ,
                                                          ' c r e d e n t i a l s ' :   T r u e ,                                                           ' e r r o r ' :   F a l s e ,                                                           ' m i s c o n f i g u r e d ' :   T r u e ,                                                           ' s t a t u s _ c o d e ' :   2 0 0 } ,                           ' p r e - d o m a i n ' :   { ' A c c e s s - C o n t r o l - A l l o w - O r i g i n ' :   ' h t t p s : / / s c a r y m o n s t e r e x a m p l e . c o m ' ,                                                         ' O r i g i n ' :   '   h t t p s : / / s c a r y m o n s t e r e x a m p l e . c o m ' ,                                                         ' c r e d e n t i a l s ' :   T r u e ,                                                         ' e r r o r ' :   F a l s e ,                                                         ' m i s c o n f i g u r e d ' :   T r u e ,                                                         ' s t a t u s _ c o d e ' :   2 0 0 } ,                           ' s u b - d o m a i n ' :   { ' A c c e s s - C o n t r o l - A l l o w - O r i g i n ' :   ' h t t p s : / / s c a r y m o n s t e r . e x a m p l e . c o m ' ,                                                         ' O r i g i n ' :   ' h t t p s : / / s c a r y m o n s t e r . e x a m p l e . c o m ' ,                                                         ' c r e d e n t i a l s ' :   T r u e ,                                                         ' e r r o r ' :   F a l s e ,                                                         ' m i s c o n f i g u r e d ' :   T r u e ,                                                         ' s t a t u s _ c o d e ' :   2 0 0 } ,                           ' u r l ' :   ' h t t p s : / / e x a m p l e . c o m / ' ,                           ' v e r b ' :   ' G E T ' } ] ,   ' s u m m a r y ' :   { ' e r r o r ' :   [ ] ,   ' m i s c o n f i g u r e d ' :   [ { ' c r e d e n t i a l s ' :   T r u e ,                                         ' m i s c o n f i g u r e d _ t e s t ' :   [ ' f a k e _ o r i g i n ' ,                                                                                       ' s u b - d o m a i n ' ,                                                                                       ' p r e - d o m a i n ' ,                                                                                       ' p o s t - d o m a i n ' ] ,                                         ' s t a t u s _ c o d e ' :   2 0 0 ,                                         ' u r l ' :   ' h t t p s : / / d o m a i n . c o m ' ,                                         ' v e r b ' :   ' G E T ' } ] } }
项 目 地 址 项 目 地 址 C o r s a i r _ s c a n ： 【 点 击 底 部 阅 读 原 文 获 取 】 精 彩 推 荐 精 彩 推 荐 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理