Web攻防第五十四天

最新推荐文章于 2024-03-13 16:31:31 发布

xiaopeisec

最新推荐文章于 2024-03-13 16:31:31 发布

阅读量259

点赞数 2

分类专栏： web安全文章标签：安全笔记 web安全

本文链接：https://blog.csdn.net/B_l_a_nk/article/details/132994583

版权

web安全专栏收录该内容

31 篇文章 8 订阅

订阅专栏

WEB攻防-通用漏洞&跨域CORS资源&JSONP回调&域名接管劫持

检测项目-CORS&JSONP&子域名接管

#知识点：

1、子域名接管-检测&探针&利用

2、COSP跨域资源-检测&探针&利用

3、JSONP跨域回调-检测&探针&利用

#前置知识点：

-同源策略(SOP)-“同源”包括三个条件：同协议同域名同端口

同源策略限制从一个源加载的文档或脚本与来自另一个源的资源进行交互,这是一个用于隔离潜在恶意文件的关键的安全机制.简单说就是浏览器的一种安全策略。

虽然同源策略在安全方面起到了很好的防护作用,但也在一定程度上限制了一些前端功能的实现,所以就有了许多跨域的手段。

同源策略限制的太厉害，但是网站需要去调用外部资源，所以就有了这个cors

COSP跨域资源

CORS全称Cross-Origin Resource Sharing, 跨域资源共享，是HTML5的一个新特性，已被所有浏览器支持，跨域资源共享(CORS)是一种放宽同源策略的机制，它允许浏览器向跨源服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制，以使不同的网站可以跨域获取数据。

Access-Control-Allow-Origin：指定哪些域可以访问域资源。例如，如果requester.com想要访问provider.com的资源，那么开发人员可以使用此标头安全地授予requester.com对provider.com资源的访问权限。

Access-Control-Allow-Credentials：指定浏览器是否将使用请求发送cookie。仅当allow-credentials标头设置为true时，才会发送Cookie。

Access-Control-Allow-Methods：指定可以使用哪些HTTP请求方法（GET，PUT，DELETE等）来访问资源。此标头允许开发人员通过在requester.com请求访问provider.com的资源时，指定哪些方法有效来进一步增强安全性。

检测项目：https://github.com/chenjj/CORScanner

CSRF和CORS的区别

csrf在有同源检测的时候就会失败，而cors不会。csrf是利用这个数据包完成一些操作。当用户点击这个带有csrf的链接后触发的数据包，这个数据包可以干什么，那么就代表csrf能干啥，比如添加用户、删除用户等。但cors不能，它只能获取网站的资源，比如图片、源码之类的。

对于这个cors，如果说这个Access-Control-Allow-Origin:http:后面写的*，那么这里可能就有cors漏洞。如果是固定了一个地址的话，比如www.xiaodi8.com，那么他就只能从这个地址来获取资源。相当于说如果这里写死的话，那么这里基本就没cors漏洞了。

案例：CORS资源跨域-敏感页面源码获取

复现步骤：

1、本地搭建访问页面跨域调用URL

2、受害者访问当前页面被资源共享

首先网站管理者登录着自己的后台，这里使用本地搭建的zblog做演示。

当他去点击了存在攻击者的链接就会触发CORS，链接这里是用cors.html这个来模拟真实环境，下面代码的意思就是当你点击这个cors.html之后就会去请求http://localhost/Zblog/zb_system/admin/index.php这个地址，然后因为这是网站后台是登录状态可以直接访问，那么就会把里面的内容以变量z0发到http://localhost:80/cors1.php

而这个cors1.php就会接收这个变量z0的数据写入到1.html里面，那么就完成了CORS。其实这个步骤和CSRF是一样的，但是这里就是因为同源策略所以CSRF失效了，就可以用CORS来进行攻击。两个产生原理不同，得到的结果也不同，CORS是资源共享，所以可以解决跨域问题。CSRF是什么操作都可以，只要触发的这个链接能做啥事，他就能做什么操作。

这是我们点开这个1.html，就可以看到网站的内容，这里用url编码的，但问题不大，修改一下编码即可。

那么在白盒代码审计的情况下就是看设置问题了，就是看origin设置的是不是*，是星号，那么就有这个漏洞。而黑盒就是看origin设置后能通过资源。上面说过这个origin这个值在请求头中，那我们是不是可以抓包修改。

JSONP跨域回调

JSONP跨域巧妙的利用了script标签能跨域的特点,实现了json的跨域传输。

检测项目：手工审查元素筛选或Burp项目

https://github.com/p1g3/JSONP-Hunter

这个jsonp跨域回调就是说网站因为有第三方接口，比如支付接口，客户在第三方接口支付完之后，第三方接口就会给网站发送个回调，网站就会通过这个回调来确认客户已经支付成功了。而在这个回调中有一些敏感信息，所以如果说目标在登录网站的同时点开了攻击者给的链接，那么这个链接就会去接受登录网站的回调，从而得到一些敏感信息。而这个回调的传输格式为json，所以就成为jsonp跨域回调

一般大型的网站都会有这个同源策略，这是为了安全着想。但是业务需求不得不调用第三方接口。利用这个就可以绕过同源策略，同时得到用户的敏感信息。

利用这个JSONP只能得到用户的敏感信息，而利用CORS只能得到网站资源。这两个就是绕过同源策略的一些攻击手段。

JSONP回调跨域-某牙个人信息泄露

复现步骤：

1、登录某牙找到回调有敏感信息

2、本地搭建访问页面跨域调用URL

3、访问本地页面可获取当前某牙信息

当用户点击这个html之后就会被攻击者得到回调

而这个和csrf的区别就是一般大型网站都会检测同源策略，所以你只能用这个回调去获取一些信息。而找这个漏洞就是看你能不能找到这个回调，回调里面有没有敏感信息。如果有那么这里就有安全问题。可以直接在数据包那里搜callback来查看回调

子域名接管

域名解析记录指向域名，对应主机指向了一个当前未在使用或已经删除的特定服务，攻击者通过注册指向域名，从而控制当前域名的控制权，实现恶意软件分发、网络钓鱼/鱼叉式网络钓鱼、XSS 、身份验证绕过等。子域名接管不仅仅限于CNAME记录，NS,MX甚至A记录也会受到影响。

设定域名的指向的时候一般都是a记录，但也有cname，也就是别名。如果说把test.baidu.com设置个别名为test.xxxxx.com的话，如果这个test.xxxxx.com域名过期或则失效了，那我们就可以注册这个域名，那么这个域名归自己所有，然后把这个域名指向的网站为自己的，就可以实现对test.baidu.com的控制。

可能你有点不理解，再说明一下，如果test.xxxxx.com失效或则过期，你访问test.baidu.com是显示啥也没有，也就是说test.xxxxx.com我们一旦注册，别人访问test.baidu.com就会指向到我这里来，那么我想让它显示什么，他就会显示什么。