CORS跨域资源共享漏洞的复现、分析、利用及修复过程

Part1 前言

CORS跨域资源共享漏洞与JSONP劫持漏洞类似，都是程序员在解决跨域问题中进行了错误的配置。攻击者可以利用Web应用对用户请求数据包的Origin头校验不严格，诱骗受害者访问攻击者制作好的恶意网站，从而跨域获取受害者的敏感数据，包括转账记录、交易记录、个人身份证号信息、订单信息等等
。

近几年在很多的渗透测试报告中，CORS跨域资源共享漏洞越来越多了。有的朋友实在挖不出漏洞，偶尔就会写上一个CORS跨域资源共享漏洞出一份报告，但是细究起来以下几个问题，却都模棱两可，搞不明白。

1. 什么是CORS漏洞？

2. 哪些情况下的CORS漏洞是高危漏洞？哪些情况下CORS漏洞是没有危害的？

3. CORS漏洞的怎么利用？

4. CORS漏洞的修补建议？

很多朋友*以为Web应用返回Access-Control-Allow-Origin: 就是存在漏洞，其实这个判断是不完善的
。本期作者自己写了一个Java的测试环境，给大家演示一下CORS漏洞的复现过程及利用过程，相信大家一看就明白了。

Part2 CORS漏洞测试结果

首先给出最终测试结果，以下结论是自写Java代码搭建环境进行测试给出的结论，欢迎大家批评指正。首先使用burpsuite抓包对http请求添加Origin:
http://www.attacker.com 进行测试：

1 如果返回头是以下情况，那么就是高危漏洞，这种情况下漏洞最好利用：

Access-Control-Allow-Origin: https://www.attacker.com

Access-Control-Allow-Credentials: true

2 如果返回头是以下情况，那么也可以认为是高危漏洞，只是利用起来麻烦一些：

Access-Control-Allow-Origin: null

Access-Control-Allow-Credentials: true

3 如果返回以下，则不存在漏洞，因为Null必须是小写才存在漏洞：

Access-Control-Allow-Origin: Null

Access-Control-Allow-Credentials: true

4 如果返回以下，可认为不存在漏洞，因为CORS安全机制阻止了这种情况下的漏洞利用，也可以写上低危的CORS配置错误问题。

Access-Control-Allow-Origin: *

Access-Control-Allow-Credentials: true

5 如果返回以下，可认为不存在漏洞，也可以写上低危的CORS配置错误问题。

Access-Control-Allow-Origin: *

Part3 CORS跨域漏洞复现

一般CORS漏洞的测试过程

首先复习一下常规的CORS漏洞测试过程：抓取一个能够返回个人敏感数据的HTTP请求包，添加Origin:
http://www.xxx.com，查看返回头中是否包含“Access-Control-Allow-Origin: *”、“Access-Control-
Allow-Credentials: true”，这里说明一点，如果返回包中这两个头同时存在，那么它其实是不存在CORS漏洞的。接下来依据Access-
Control-Allow-Origin、Access-Control-Allow-
Credentials的不同返回值的各种情况，分别写Java代码测试一下，是否能够获取敏感数据，大家就明白了。

• 编写Java代码测试

接下来我用Java编写了两个Servlet代码模拟一个Web购物网站，用JS前端代码模拟攻击者构造的CORS漏洞利用html页面。

如下所示，首先是登录界面的servlet代码如下。

代码效果如下，用户输入用户名密码后，购物网站提示登录成功，这时候后台代码已经生成Cookie。

接下来用户访问PersonInfo页面，http://192.168.237.1:9999/Servlet/PersonInfo
会显示交易密码是123456。

此页面对应的PersonInfo的Sevlet代码如下：

接下来攻击者为了获取该购物网站用户的交易密码，精心构造了如下的attack.html页面放到Web服务器上，此时攻击URL是http://www.attacker111.com/attack.html
。攻击者将此URL发给受害者浏览，受害者的交易密码将会被获取到。

• 第1种情况：

首先看第1种情况，服务器返回如下消息头，这种情况下，非常好利用，所以漏洞定级是高危：

Access-Control-Allow-Origin: https://www.attacker.com

Access-Control-Allow-Credentials: true

这两个返回头表示应用程序允许来自任何Origin的任何脚本向应用程序发出CORS请求，这时候程序员的代码是这样写的：

受害者访问攻击者构造好的URL之后，成功获取用户的敏感数据。

F12查看浏览器发出的请求，发现其带上了Cookie，成功绕过跨域的同源限制。

• 第2种情况：

服务器返回如下消息头，这种情况下，利用起来稍有困难，这里的null必须全部都是小写，漏洞仍然是高危。

Access-Control-Allow-Origin: null

Access-Control-Allow-Credentials: true

在这种情况下，应用程序HTTP响应头Access-Control-Allow-
Origin的值始终为null。当用户指定null以外的任何值时，应用程序不会处理。

这时候访问http://192.168.237.199/attack.html，发现浏览器提示CORS策略错误。

因为这时候的Origin不等于null

这里需要想办法让Origin等于null，于是攻击者构造如下js代码：

此时发现仍然可以成功获取用户的敏感数据。

• 第3种情况：

服务器返回如下消息头，这种情况下，其实是不存在漏洞的，如果非要牵强地说存在漏洞，可以协商CORS配置错误，毕竟设置为*本身就有问题。

**Access-Control-Allow-Origin: ***

Access-Control-Allow-Credentials: true

对应着java代码如下：

访问http://www.attacker111.com/attack.html发现，浏览器直接报错，看来这种情况根本不被安全策略所允许。

• 第4种情况：

服务器返回如下消息头，这个就不演示了，只能说明CORS配置存在问题，但是没法获取敏感数据，漏洞评级应为中危或者低危。

Access-Control-Allow-Origin：*

• Chrome浏览器测试结果

接下来换谷歌Chrome浏览器最新版本下测试，发现确实成功绕过了同源策略，发起了跨域请求，但是Chrome浏览器却没有为请求带上Cookie，所以漏洞利用有限。

Part4 修补建议

1. Access-Control-Allow-Origin中指定的来源只能是受信任的站点，避免使用Access-Control-Allow-
Origin: *，避免使用Access-Control-Allow-Origin: null，否则攻击者可以伪造来源请求实现跨域资源窃取。

2. 严格校验“Origin”值，校验的正则表达式一定要编写完善，避免出现绕过的情况。

3. 减少“Access-Control-Allow-Methods”所允许的请求方法。

4. 除了正确配置CORS之外，Web服务器还应继续对敏感数据进行保护，例如身份验证和会话管理等。

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里