漏洞详情

在对目标系统的渗透测试中发现了 CORS 配置不当 漏洞。此漏洞允许攻击者通过任意跨域请求获取用户敏感信息，可能导致账户劫持及数据泄露。

漏洞危害

  1. 信息泄露：攻击者可通过绕过安全策略访问用户的敏感信息。
  2. 账户劫持：利用攻击代码进行凭据窃取。

漏洞验证过程

  1. 请求构造
    使用以下 payload 模拟跨域请求：

    1
    2
    3
    4
    5
    6
    fetch('https://vulnerable-site.com/api/data', {
      method: 'GET',
      credentials: 'include'
    })
    .then(response => response.json())
    .then(data => console.log(data));

  2. Origin 响应验证
    检查 HTTP 响应头，发现：

    1
    2
    Access-Control-Allow-Origin: *
    Access-Control-Allow-Credentials: true

    以上说明漏洞存在。

修复建议

  1. 限制 ACAO: 将 Access-Control-Allow-Origin 设置为信任源，不使用通配符 *。
  2. 禁用凭据: 若业务需求允许，禁止跨域发送 Cookies (Access-Control-Allow-Credentials: false)。
  3. 监控跨域请求: 配置 WAF 进行异常监控。

发布人：wakedate 安全团队