漏洞介绍
CORS(Cross-Origin Resource Sharing)即跨源资源共享,CORS是W3C出的一个标准,其思想是使用自定义的HTTP头部让浏览器与服务器进行沟通,因为开发者需要通过跨域获取资源
漏洞实战
这里通过DoraBox中的CORS模块进行一次简易的实践演示:
代码分析
首先查看一下cors设计代码,从下面可以看到"Access-Control-Allow:*"这个CORS配置:
然后访问一下该页面可以从下面的页面查看到有用户的个人信息:
漏洞利用
下面构造CORS.html页面来读取信息:
<!DOCTYPE html>
<html>
<body>
<div id="demo">
<button type