搜索

[29024] 2021-06-21_【技术分析】深入研究CORS：历史、工作原理和最佳实践

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-06-21_【技术分析】深入研究CORS：历史、工作原理和最佳实践 【 技 术 分 析 】 深 入 研 究   C O R S ： 历 史 、 工 作 原 理 和 最 佳 实 践 O t s 安 全   2 0 2 1 - 0 6 - 2 1 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍           - 点 击 图 文 广 告   =   打 赏 浏 览 器 控 制 台 中 的 错 误 浏 览 器 控 制 台 中 的 错 误 请 求 的 资 源 上 不 存 在 “ A c c e s s - C o n t r o l - A l l o w - O r i g i n ” 标 头 。 跨 域 请 求 被 阻 止 ： 同 源 策 略 不 允 许 读 取 e x a m p l e . c o m   上 的 远 程 资 源 C O R S   策 略 阻 止 了 从 源 “   l o c a l h o s t : 3 0 0 0 ” 获 取 “   e x a m p l e . c o m   ” 的 访 问 权 限 。 我 相 信 您 已 经 在 浏 览 器 的 控 制 台 中 看 到 了 这 些 错 误 之 一 或 变 体 。 如 果 你 还 没 有 — — 别 担 心 ， 你 很 快 就 会 了 。 所 有 开 发 人 员 都 有 足 够 的   C O R S 错 误 。 这 些 在 开 发 过 程 中 的 弹 出 窗 口 可 能 很 烦 人 。 但 事 实 上 ， 在   W e b   服 务 器 配 置 错 误 、 W e b   上 的 敌 对 行 为 者 以 及 推 动   W e b   标 准 向 前 发 展 的 组 织 的 世 界 中 ， C O R S   是 一 种 非 常 有 用 的 机 制 。 但 是 让 我 们 回 到 最 初 . . . 一 开 始 是 第 一 个 子 资 源 一 开 始 是 第 一 个 子 资 源 子 资 源 是 请 求 嵌 入 到 文 档 中 或 在 其 上 下 文 中 执 行 的   H T M L   元 素 。 1 9 9 3 年 ， < i m g > 引 入 了 第 一 个 子 资 源 。 通 过 引 入 < i m g > ， 网 络 变 得 更 漂 亮 了 。 而 且 更 复 杂 。 你 看 ， 如 果 你 的 浏 览 器 渲 染 一 个 带 有   的 页 面 < i m g > ， 它 实 际 上 必 须 从 源 中 获 取 该 子 资 源 。 当 浏 览 器 从 不 位 于 相 同 方 案 、 完 全 限 定 主 机 名 或 端 口 的 源 中 获 取 所 述 子 资 源 时 — — 这 是 一 个 跨 源 请 求 。 起 源 与 跨 起 源 起 源 与 跨 起 源 源 由 三 元 组 标 识 ： 方 案 、 完 全 限 定 的 主 机 名 和 端 口 。 例 如 ， h t t p : / / e x a m p l e . c o m 和 h t t p s : / / e x a m p l e . c o m 是 不 同 的 起 源 — — 第 一 个 使 用 h t t p 方 案 ， 第 二 个 使 用 h t t p s .   此 外 ， 默 认 h t t p 端 口 为   8 0 ， 而 默 认 端 口 为 h t t p s 4 4 3 。 因 此 ， 在 此 示 例 中 ， 尽 管 主 机 相 同   (   e x a m p l e . c o m )   ， 但 两 个 来 源 在 方 案
和 端 口 上 有 所 不 同 。 你 明 白 了 — — 如 果 三 元 组 中 的 三 个 项 目 中 的 任 何 一 个 不 同 ， 那 么 来 源 就 不 同 。 作 为 练 习 ， 如 果 我 们 将 作 为 练 习 ， 如 果 我 们 将 h t t p s : / / b l o g . e x a m p l e . c o m / p o s t s / f o o . h t m l 原 点 与 其 他 原 点 进 行 比 较 ， 我 们 将 得 到 以 下 结 果 ： 一 个 跨 源 请 求 意 味 着 ， 例 如 ， 一 个 资 源 （ 即 页 面 ） h t t p : / / e x a m p l e . c o m / p o s t s / b a r . h t m l 会 尝 试 从 h t t p s : / / e x a m p l e . c o m 源 渲 染 一 个 子 资 源 （ 注 意 方 案 改 变 ！ ） 。 跨 域 请 求 的 诸 多 危 险 跨 域 请 求 的 诸 多 危 险 现 在 我 们 定 义 了 同 源 和 跨 域 是 什 么 ， 让 我 们 看 看 有 什 么 大 不 了 的 。 当 我 们 介 绍 < i m g > 到 网 络 时 ， 我 们 打 开 了 闸 门 。 不 久 后 ， 网 上 有 < s c r i p t > ， < f r a m e > ， < v i d e o > ， < a u d i o > ， < i f r a m e > ， < l i n k > ， < f o r m > 等 。 这 些 子 资 源 可 以 在 加 载 页 面 后 被 浏 览 器 获 取 ， 因 此 它 们 都 可 以 是 同 源 请 求 或 跨 域 请 求 。 让 我 们 进 入 一 个 想 象 中 的 世 界 ， 在 那 里   C O R S   不 存 在 并 且   W e b   浏 览 器 允 许 各 种 跨 域 请 求 。 想 象 一 下 ， 我 的 网 站 上 e v i l . c o m 有 一 个 带 有 < s c r i p t > .   从 表 面 上 看 ， 它 看 起 来 像 一 个 简 单 的 页 面 ， 您 可 以 在 其 中 阅 读 一 些 有 用 的 信 息 。 但 是 在 中 < s c r i p t > ， 我 有 特 制 的 代 码 ， 可 以 向 银 行 的 D E L E T E   / a c c o u n t 端 点 发 送 特 制 的 请 求 。 加 载 页 面 后 ， 将 执 行   J a v a S c r i p t ， 并 且   A J A X   调 用 会 访 问 银 行 的   A P I 。
令 人 兴 奋   -   想 象 一 下 ， 当 您 阅 读 网 页 上 的 一 些 信 息 时 ， 您 会 收 到 一 封 来 自 银 行 的 电 子 邮 件 ， 说 明 您 已 成 功 删 除 帐 户 。 我 知 道 我 知 道 . . . 如 果 在 银 行 做 任 何 事 情 都 那 么 容 易 的 话 。 我 离 题 了 。 为 了 让 我 的 邪 恶 < s c r i p t > 发 挥 作 用 ， 作 为 请 求 的 一 部 分 ， 您 的 浏 览 器 还 必 须 从 银 行 网 站 发 送 您 的 凭 据 （ c o o k i e ） 。 这 就 是 银 行 服 务 器 如 何 识 别 您 并 知 道 要 删 除 哪 个 帐 户 。 让 我 们 看 一 个 不 同 的 、 不 那 么 邪 恶 的 场 景 。 我 想 检 测 为 A w e s o m e   C o r p 工 作 的 人 ， 他 们 的 内 部 网 站 在 i n t r a . a w e s o m e - c o r p . c o m .   在 我 的 网 站 上 ， d a n g e r o u s . c o m 我 得 到 了 一 个 < i m g s r c = " h t t p s : / / i n t r a . a w e s o m e - c o r p . c o m / a v a t a r s / j o h n - d o e . p n g " > . 对 于 没 有 与   活 动 会 话 的 用 户 ， i n t r a . a w e s o m e - c o r p . c o m 头 像 将 不 会 呈 现   -   它 会 产 生 错 误 。 但 是 ， 如 果 你 登 录 了 A w e s o m e   C o r p . 的 内 网 ， 一 旦 你 打 开 我 的 d a n g e r o u s . c o m 网 站 ， 我 就 会 知 道 你 可 以 访 问 。 这 意 味 着 我 将 能 够 获 得 一 些 关 于 你 的 信 息 。 虽 然 对 我 来 说 发 动 攻 击 肯 定 更 难 ， 但 您 可 以 访 问   A w e s o m e   C o r p .   的 知 识 仍 然 是 潜 在 的 攻 击 媒 介 。
虽 然 这 两 个 例 子 过 于 简 单 ， 但 正 是 这 种 威 胁 使 得 同 源 策 略 和   C O R S   成 为 必 要 。 这 些 都 是 跨 域 请 求 的 不 同 危 险 。 有 些 已 经 得 到 缓 解 ， 有 些 则 无 法   缓 解 — — 它 们 植 根 于 网 络 的 本 质 。 但 是 对 于 已 经 被 压 制 的 大 量 攻 击 媒 介 — — 这 是 因 为   C O R S 。 但 在   C O R S   之 前 ， 有 同 源 策 略 。 同 源 策 略 同 源 策 略 同 源 策 略 通 过 阻 止 对 从 不 同 源 加 载 的 资 源 的 读 取 访 问 来 防 止 跨 源 攻 击 。 此 策 略 仍 允 许 某 些 标 签 （ 例 如 < i m g > ） 嵌 入 来 自 不 同 来 源 的 资 源 。 同 源 策 略 由   N e t s c a p e   N a v i g a t o r   2 . 0 2   于   1 9 9 5   年 引 入 ， 最 初 旨 在 保 护 对   D O M   的 跨 域 访 问 。 尽 管 同 源 策 略 的 实 现 不 需 要 遵 循 确 切 的 规 范 ， 但 所 有 现 代 浏 览 器 都 实 现 了 某 种 形 式 的 规 范 。 该 政 策 的 原 则 在 互 联 网 工 程 任 务 组   ( I E T F )   的 R F C 6 4 5 4   中 进 行 了 描 述 。 同 源 策 略 的 实 现 是 用 这 个 规 则 集 定 义 的 ：
同 源 策 略 解 决 了 许 多 挑 战 ， 但 它 的 限 制 性 很 强 。 在 单 页 应 用 程 序 和 媒 体 密 集 型 网 站 的 时 代 ， 同 源 并 没 有 为 这 些 规 则 的 放 松 或 微 调 留 出 很 大 的 空 间 。 C O R S   的 诞 生 目 标 是 放 宽 同 源 策 略 并 微 调 跨 源 访 问 。 输 入 输 入   C O R S 到 目 前 为 止 ， 我 们 介 绍 了 什 么 是 源 、 它 是 如 何 定 义 的 、 跨 源 请 求 的 缺 点 是 什 么 以 及 浏 览 器 实 现 的 同 源 策 略 。 现 在 是 时 候 熟 悉 跨 源 资 源 共 享   ( C O R S )   了 。 C O R S   是 一 种 允 许 通 过 网 络 控 制 对 网 页 上 子 资 源 的 访 问 的 机 制 。 该 机 制 将 子 资 源 访 问 分 为 三 类 ： 1 .   跨 域 写 入 2 .   跨 域 嵌 入 3 .   跨 域 读 取 在 我 们 继 续 解 释 这 些 类 别 中 的 每 一 个 之 前 ， 重 要 的 是 要 认 识 到 ， 尽 管 您 的 浏 览 器 （ 默 认 情 况 下 ） 可 能 允 许 某 种 类 型 的 跨 域 请 求 ， 但 这 并 不 意 味 着 该 请 求 将 被 服 务 器 接 受 。 跨 域 写 入 是 链 接 、 重 定 向 和 表 单 提 交 。 在 浏 览 器 中 激 活   C O R S   后 ， 这 些 都 是 允 许 的 。 还 有 一 个 叫 做 预 检 请 求 的 东 西 ， 它 可 以 微 调 跨 域 写 入 ， 所 以 虽 然 默 认 情 况 下 可 能 允 许 某 些 写 入 ， 但 这 并 不 意 味 着 它 们 可 以 在 实 践 中 通 过 。 我 们 稍 后 再 研 究 。 跨 域 嵌 入 功 能 都 可 以 通 过 加 载 子 资 源 ： < s c r i p t > ， < l i n k > ， < i m g > ， < v i d e o > ， < a u d i o > ， < o b j e c t > ， < e m b e d > ， < i f r a m e > 等 等 。 这 些 都 是 默 认 允 许 的 。 < i f r a m e > 是 一 个 特 殊 的 — — 因 为 它 的 目 的 是 在 框 架 内 加 载 不 同 的 页 面 ， 它 的 跨 源 框 架 可 以 通 过 使 用 X - F r a m e - o p t i o n s 标 题 来 控 制 。 当 涉 及 到 < i m g > 其 他 可 嵌 入 的 子 资 源 时 — — 触 发 跨 域 请 求 是 它 们 的 本 质 。 这 就 是 为 什 么 在   C O R S   中 区 分 跨 域 嵌 入 和 跨 域 读 取 ， 并 区 别 对 待 它 们 的 原 因 。 跨 域 读 取 跨 域 读 取 是 通 过   A J A X   / f e t c h 调 用 加 载 的 子 资 源 。 这 些 默 认 情 况 下 在 您 的 浏 览 器 中 被 阻 止 。 有 一 种 在 页 面 中 嵌 入 此 类 子 资 源 的 解 决 方 法 ， 但 此 类 技 巧 由 现 代 浏 览 器 中 存 在 的 另 一 种 策 略 处 理 。 如 果 您 的 浏 览 器 是 最 新 的 ， 则 所 有 这 些 启 发 式 方 法 都 已 在 其 中 实 现 。
跨 域 写 入 跨 域 写 入 跨 域 写 入 可 能 是 非 常 有 问 题 的 。 让 我 们 看 一 个 例 子 ， 看 看   C O R S   的 运 行 情 况 。 首 先 ， 我 们 将 有 一 个 简 单 的 C r y s t a l （ 使 用 K e m a l ） H T T P   服 务 器 ： 它 只 是 在 / g r e e t 路 径 上 接 受 一 个 请 求 ， n a m e 在 请 求 正 文 中 包 含 一 个 ， 并 返 回 一 个 H e l l o   # { n a m e } ! 。 要 运 行 这 个 微 型   C r y s t a l   服 务 器 ， 我 们 可 以 使 用 以 下 命 令 启 动 它 ： 这 将 启 动 服 务 器 并 监 听 l o c a l h o s t : 4 0 0 0 .   如 果 我 们 l o c a l h o s t : 4 0 0 0 在 浏 览 器 中 导 航 到 ， 我 们 将 看 到 一 个 简 单 的 “ H e l l o   W o r l d ” 页 面 ： r e q u i r e   " k e m a l " p o r t   =   E N V [ " P O R T " ] . t o _ i   | |   4 0 0 0 g e t   " / "   d o     " H e l l o   w o r l d ! " e n d g e t   " / g r e e t "   d o     " H e y ! " e n d p o s t   " / g r e e t "   d o   | e n v |     n a m e   =   e n v . p a r a m s . j s o n [ " n a m e " ] . a s ( S t r i n g )     " H e l l o ,   # { n a m e } ! " e n d K e m a l . c o n f i g . p o r t   =   p o r t K e m a l . r u n $   c r y s t a l   r u n   s e r v e r . c r
现 在 我 们 知 道 我 们 的 服 务 器 正 在 运 行 ， 让 我 们 从 浏 览 器 页 面 的 控 制 台 对 P O S T   / g r e e t 正 在 监 听 的 服 务 器 执 行   a   l o c a l h o s t : 4 0 0 0 。 我 们 可 以 通 过 使 用 f e t c h ： 一 旦 我 们 运 行 它 ， 我 们 将 看 到 从 服 务 器 返 回 的 问 候 语 ： f e t c h (     ' h t t p : / / l o c a l h o s t : 4 0 0 0 / g r e e t ' ,     {         m e t h o d :   ' P O S T ' ,         h e a d e r s :   {   ' C o n t e n t - T y p e ' :   ' a p p l i c a t i o n / j s o n '   } ,         b o d y :   J S O N . s t r i n g i f y ( {   n a m e :   ' I l i j a ' } )     } ) . t h e n ( r e s p   = >   r e s p . t e x t ( ) ) . t h e n ( c o n s o l e . l o g )
这 是 一 个 P O S T 请 求 ， 但 它 不 是 跨 域 的 。 我 们 将 请 求 从 h t t p : / / l o c a l h o s t : 4 0 0 0 渲 染 （ 源 ） 的 浏 览 器 发 送 到 同 一 个 源 。 现 在 ， 让 我 们 尝 试 相 同 的 请 求 ， 但 跨 域 。 我 们 将 打 开 h t t p s : / / g o o g l e . c o m 并 尝 试 从 浏 览 器 中 的 该 选 项 卡 发 送 相 同 的 请 求 ：
我 们 设 法 得 到 了 著 名 的   C O R S   错 误 。 尽 管 我 们 的   C r y s t a l   服 务 器 可 以 满 足 请 求 ， 但 我 们 的 浏 览 器 正 在 保 护 我 们 免 受 自 己 的 侵 害 。 它 基 本 上 告 诉 我 们 ， 我 们 打 开 的 一 个 网 站 想 要 对 另 一 个 网 站 进 行 更 改 。 在 第 一 个 示 例 中 ， 我 们 h t t p : / / l o c a l h o s t : 4 0 0 0 / g r e e t 从 呈 现 的 选 项 卡   发 送 请 求   h t t p : / / l o c a l h o s t : 4 0 0 0 ， 我 们 的 浏 览 器 查 看 该 请 求 并 让 它 通 过 ， 因 为 看 起 来 我 们 的 网 站 正 在 调 用 我 们 的 服 务 器 （ 这 很 好 ） 。 但 是 在 我 们 的 网 站   (   h t t p s : / / g o o g l e . c o m )   想 要 写 入 的 第 二 个 示 例 中 h t t p : / / l o c a l h o s t : 4 0 0 0 ， 我 们 的 浏 览 器 会 标 记 该 请 求 并 且 不 让 它 通 过 。 预 检 请 求 预 检 请 求 如 果 我 们 更 深 入 地 查 看 我 们 的 开 发 人 员 控 制 台 ， 特 别 是 在   N e t w o r k   选 项 卡 中 ， 我 们 实 际 上 会 注 意 到 两 个 请 求 代 替 了 我 们 发 送 的 请 求 ：
值 得 注 意 的 是 ， 第 一 个 请 求 的   H T T P   方 法 为 O P T I O N S ， 而 第 二 个 请 求 的   H T T P   方 法 为 P O S T . 如 果 我 们 探 索 这 个 O P T I O N S 请 求 ， 我 们 会 看 到 这 是 一 个 在 发 送 我 们 的 P O S T 请 求 之 前 由 我 们 的 浏 览 器 发 送 的 请 求 ： 有 趣 的 是 ， 即 使 对 O P T I O N S 请 求 的 响 应 是   H T T P   2 0 0 ， 它 仍 然 在 请 求 列 表 中 标 记 为 红 色 。 为 什 么 ？ 这 是 现 代 浏 览 器 所 做 的 预 检 请 求 。 对   C O R S   认 为 复 杂 的 请 求 执 行 预 检 请 求 。 复 杂 请 求 的 标 准 是 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理