CORS漏洞其中已经存在很久了，但是国内了解的人不是很多，文章更是少只有少，漏洞平台也没有此分类。

在DefConChina之后写了一篇算是小科普的文章。

定义
CORS，Cross-Origin Resource Sharing，跨源资源共享。
CORS是W3C出的一个标准，其思想是使用自定义的HTTP头部让浏览器与服务器进行沟通。因为开发者需要进行跨域进行获取资源，应用场景，在a.com，想获取b.com中的数据，常用的2种方法进行跨域
一种为JSONP,一种为CORS.前者再次不在描述，常见的为JSONP劫持。

CORS请求示例：
b.com想获取www.a.com/1.jpg的图片资源。
代码如下：

<!DOCTYPE html>

<html>

    <head>CORS Test</head>

    <body>

        <div id="img_Div"></div>

    <script type="text/javascript">

        //XmlHttpRequest对象

        function createXmlHttpRequest(){

            if(window.ActiveXObject){ //如果是IE浏览器

                return new ActiveXObject("Microsoft.XMLHTTP");

            }else if(window.XMLHttpRequest){ //非IE浏览器

                return new XMLHttpRequest();

            }

        }  

        function getFile() {

            var img_Container = document.getElementById("img_Div");

            var xhr = createXmlHttpRequest();

            xhr.open('GET', 'http://oss.youkouyang.com/1.jpg', true);

            xhr.setRequestHeader('Content-Type', 'image/jpeg');

            xhr.responseType = "blob";

            xhr.onload = function() {

                if (this.status == 200) {

                    var blob = this.response;

                    var img = document.createElement("img");

                    img.onload = function(e) {

                        window.URL.revokeObjectURL(img.src);

                    };

                    img.src = window.URL.createObjectURL(blob);

                    img_Container.appendChild(img);

                }

            }

            xhr.send(null);

        }

    </script>

    <div class="row">

        <input type="button" onclick="getFile()" value="Get" />

    </div>

    </body>

</html>

CORS安全机制
在CORS中，相关的标准和浏览器厂商也推出了很多防范的相关标准。例如SOP等等。

简单请求

在简单请求中，如果请求符合2个标准，则会进行异步请求：
1,GET、POST、HEAD..
2,Content-Type验证,pplication/x-www-form-urlencoded;multipart/form-data;text/plain

在简单请求中，浏览器进行跨域请求，会在请求中携带Origin，表面这是一个跨域。服务端会在接收中，通过自己的跨域规则进行验证。
通过access-Control-Allow-Origin和Access-Control-Allow-Methods 如果验证成功，则会返回资源内容，如果验证失败，则返回403状态。

预先请求
在请求中，满足下面任意一个请求中，浏览器会首先发出OPTION请求，再去验证是否符合。

在OWASP TOP 10中也有更详细的说明：
http://blog.securelayer7.net/owasp-top-10-security-misconfiguration-5-cors-vulnerability-patch/
在DefConChina中，陈建军分享的议题中解释的更清楚，有意向的可以找PPT或者视频

实战请求COS之前发过一次CORS的蠕虫：
http://evilcos.me/?p=590

防御：
在防御过程中，存在很多配置不当，或者配置错误的情况，例如使用*,或者使用多个域名list,或者使用null,或者nginx配置规则存在错误等等。

相关工具：
CORScanner // github

参考：

https://blog.csdn.net/saytime/article/details/51549888

CORS跨域资源共享漏洞的更多相关文章

  1. 跨域漏洞丨JSONP和CORS跨域资源共享

    进入正文之前,我们先来解决个小问题,什么是跨域? 跨域:指的是浏览器不能执行其它网站的脚本,它是由浏览器的同源策略造成的,是浏览器的安全限制! 跨域常见的两种方式,分别是JSONP和CORS. 今天i ...

  2. CORS跨域资源共享

    CORS(跨域资源共享)跨域问题及解决 当使用ajax跨域请求时,浏览器报错:XmlHttpRequest error: Origin null is not allowed by Access-Co ...

  3. CORS跨域资源共享你该知道的事儿

    "唠嗑之前,一些客套话" CORS跨域资源共享,这个话题大家一定不陌生了,吃久了大转转公众号的深度技术好文,也该吃点儿小米粥溜溜胃里的缝儿了,今天咱们就再好好屡屡CORS跨域资源共 ...

  4. 在ASP.NET Web API中实现CORS(跨域资源共享)

    默认情况下,是不允许网页从不同的域访问服务器资源的,访问遵循"同源"策略的原则. 会遇到如下的报错: XMLHttpRequest cannot load http://local ...

  5. django上课笔记7-jQuery Ajax 和 原生Ajax-伪造的Ajax-三种Ajax上传文件方法-JSONP和CORS跨域资源共享

    一.jQuery Ajax 和 原生Ajax from django.conf.urls import url from django.contrib import admin from app01 ...

  6. 浅谈跨域问题，CORS跨域资源共享

    1,何为跨域? 在理解跨域问题之前,你先要了解同源策略和URL,简单叙述: 1)同源策略 三同:协议相同,域名相同,端口相同: 目的:保证用户信息安全,防止恶意网站窃取数据.同源策略是必须的,否则co ...

  7. Node.js实现CORS跨域资源共享

    什么是CORS CORS(Cross-origin resource sharing),跨域资源共享,是一份浏览器技术的规范,用来避开浏览器的同源策略 简单来说就是解决跨域问题的除了jsonp外的另一 ...

  8. tomcat7.0配置CORS(跨域资源共享)

    平时我们做前台页面时可能会遇到浏览器以下提示(浏览器控制台): 已阻止跨源请求:同源策略禁止读取位于 http://xxx.xxx.com 的远程资源.(原因:CORS 头缺少 'Access-Con ...

  9. CORS(跨域资源共享)详解及与JSONP的对比

    上篇讲解的JSONP的跨域请求方式,但是在浏览器的支持及请求方式上有局限性,接下来将介绍一种新的跨域请求方式CORS. CORS是一个W3C标准,全称是"跨域资源共享"(Cross ...

随机推荐

  1. ES6相关文章

    1.https://www.cnblogs.com/xiaotanke/p/7448383.html (export ,export default 和 import 区别 以及用法)

  2. vue项目中报常见错误

    最近做项目,添加了less样式之后报错, 添加了如下样式: 报错如下图: 于是,就把相关的依赖也都安装了 以为这样会好使啦,后来发现原来是vue-style-loader的问题, 安装的vue-sty ...

  3. 封装hibernate中session（静态单例模式）

    因为每次用增删改查时都需要用到session,直接做一个类,需要的时候只需要调用即可 import org.hibernate.Session; import org.hibernate.Sessio ...

  4. 基于Python和Tornado的WEB Terminal

    https://github.com/liftoff/GateOne 亮点有以下: ↪ Clientless ↪ Multi-User and Multi-Session ↪ Multi-Auth a ...

  5. Lua基础---循环语句

    Lua的循环和C语言的循环的语法其实差不多,所以,理解起来就很好理解的啦,所以实现也很简单,跟C没什么两样,都差不多. 案例如下: test1.lua -- 1.while循环 --[[ 理解为C语言 ...

  6. 浅谈java使用指定字符集编码，以及常见的字符集

    问题的引入:在InputStreamReader(OutputStreamWriter)的构造方法中,有指定字符集编码,那么什么是字符集?有哪些常用的字符集?怎么用字符集进行编码? 一   什么是字符 ...

  7. 旧书重温：0day2【9】第六章 攻击c++的虚函数

    不知不觉,我们学到了0day2的第六章形形色色的内存攻击技术!其中,这张很多东西都是理论的东西,不过!我们还是要想办法还原下发生的现场! 其中部分文章截图 http://user.qzone.qq.c ...

  8. .net 系列化与反序列化（转载）

    .net序列化及反序列化 转载自:http://www.cnblogs.com/Tim_Liu/archive/2010/11/09/1872587.html 序列化是指一个对象的实例可以被保存,保存 ...

  9. 前端之jQuery03 插件

    jQuery.fn.extend(object) 扩展 jQuery 元素集来提供新的方法(通常用来制作插件) 增加两个插件方法: // jQuery 扩展机制 // 自己扩展两个方法 // 把我这个 ...

  10. 伪元素:placeholder-shown&&:focus-within

    :placeholder-shown 另外,划重点,这个伪类是仍处于实验室的方案.也就是未纳入标准,当然我们的目的是探寻有意思的 CSS . 当 input 类型标签使用了 placeholder 属 ...