标签：Control Origin 跨域 Access 漏洞 Allow CORS

同源策略
浏览器的一个安全策略
域名，端口，协议相同才算同源
不同源的不能相互获取cookie，document，不能相互发ajax请求
但这给开发造成了不便，所以就有了跨域问题，CORS和jsonp是解决跨域问题的一种方案，
如果配置的不规范，可能会造成CORS跨域资源共享漏洞和jsonp劫持漏洞
java不合法的设置（“Access-Control-Allow-Origin”,"*"，允许任何域访问）
jsonp跨域设置
response.setHeader(“Access-Control-Allow-Origin”,"*");
callback
CORS跨域漏洞CORS跨域设置
response.setHeader(“Access-Control-Allow-Origin”,"*");
response.setHeader(“Access-Control-Allow-Credentials”,“true”);

CORS跨域资源共享漏洞
CORS，跨域资源共享（Cross-origin resource sharing），是H5提供的一种机制，它允许浏览器向跨源服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。（解决跨域问题的一种方案）
漏洞原理
当浏览器发现服务器的请求为简单请求时，会在头信息里加入Origin字段。Origin字段代表此次请求来自哪个域，服务器就可以检验是否来自该域。如果匹配，服务器就会在响应里增添三个字段：
Access-Control-Allow-Origin
Access-Control-Allow-Credentials
Access-Control-Expose-Headers
其中 Access-Control-Allow-Origin是必须有的，而剩下两个可有可无。Access-Control-Allow-Origin字段代表允许哪个域访问。当字段值为‘*’时，就代表任意域都可以访问，这样，就导致了Cors漏洞的产生。

具体攻击流程
假设用户登录一个含有CORS漏洞的网站http://vnlu.com，同时又访问了攻击者提供的一个链接http://evil.com，
恶意网站会向又cros漏洞的网站发起请求获取敏感数据，比如用户的身份信息
（相当于没有同源策略的csrf）
参考链接
https://zhuanlan.zhihu.com/p/410621052
https://blog.csdn.net/Askshhbs/article/details/124426525
1.不要将Access-Control-Allow-Origin字段设置为*
2.严格校验Origin字段的值
3.HTTPS 网站不要信任HTTP 域
4.不要信任全部自身子域，减少攻击面

jsonp劫持漏洞
JSONP( JSON with Padding)是json的一种“使用模式”，可以让网页从别的域名（网站）那获取资料，即跨域读取数据。
JSONP劫持就是利用scirpt标签的src属性实现跨域请求，获取网站数据的过程
攻击流程
目标：获取victim在网站B的敏感信息，比如id，name，email等信息。
前提条件：注册并登录+无安全检查
victim在网站B注册并登录
网站B对来自网站A的JSONP请求没有进行安全检查就直接返回数据

参考链接
https://blog.csdn.net/weixin_41603028/article/details/119990437

标签：Control,Origin,跨域,Access,漏洞,Allow,CORS
来源： https://www.cnblogs.com/lzstar/p/16515332.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。