Cross-Origin Read Blocking (CORB) blocked cross-origin response

一、背景

最近一直在做项目联调，由于系统对接了N个第三方厂商，于是乎扯出了一堆的跨域问题，他们是下面这样的：

https域名访问http域名被浏览器禁止

接口未开放跨域能力

• 有一天 我看到了这个：

看不清的话看这里
Cross-Origin Read Blocking (CORB) blocked cross-origin response https://a.g.t.cn/a/b/c/d?a=260111369694412724&a=%E5%8D%93%E9%80%B8%E8%A1%A5%E5%85%85%E9%89%B4%E5%AE%9A%E6%8A%A5%E5%91%8A.jpg&nonceStr=F58BBD4D816A426FB3D326A3C90F00EA×tamp=1604021832276&a=a&w=a&a=96B1D0F79F65E785CBBD2DFD27024E40 with MIME type application/json. See https://www.chromestatus.com/feature/5629709824032768 for more details.

• 惯性思维下，我叫对方做接口跨域因为我发现对方是https的域名故放弃让对方升级的想法，接口对方提供跨域能力后还是报错。于是乎我陷入沉思，便有了这篇家常贴。

二、描述问题

1、前因后果

我们的网页提供的外网访问方式是https的域名【现在都要求这个因为安全】，其中有一些缩略图文件是通过调用第三方接口获取的，大概是这个样子
<img draggable="false" src="https://a.b.c.com.cn?一堆参数" alt="" title="">
（直接这么放有它的原因这里就不说了不过放置URI是最好的，放置URL会将第三方的地址暴漏出来，放置URI的话可以通过后端Nginx代理避过跨域问题。废话(⊙o⊙)略过就行）。正常情况下第三方厂商们应该会返回文件流给我们，但是诡异的事情出现了对方后端接口做了跨域处理，可在界面中还是没有出现图片。错误就是上面的那个👉 Cross-Origin Read Blocking (CORB) blocked cross-origin response

2、分析

一开始是因为认为是跨域问题才让对方提供跨域能力，但是对方已经加上了还是不行，这个锅得找个人背一背啊。于是乎想了半天发现 这个是CORB啊 ，这个不是和CORS不一样吗？？？？？？
这个一个S一个B【这难道是一个SB问题😂】于是乎继续了解。

三、CORS

1、 概念

CORS[Cross-origin resource sharing] 具体的参考这个 http://www.ruanyifeng.com/blog/2016/04/cors.html 阮一峰的文章

看别人的文章吧 这不是咱讨论的重点。

四、CORB

1、概念

CORB【Cross-Origin Read Blocking】这个显然不能像CORS这么带过。
跨域读阻塞为啥读阻塞？怎么就堵塞了？我请求的是流，怎么变成json了？

2、一些概念

• 侧信道攻击【side-channel attacks】

简单说就是利用执行时间差来攻击举个栗子：
比如密码是corb 我们猜测第一位是a 程序执行的时候比较第一位不匹配于是我们继续猜测是b不匹配继续猜测，直到我们猜测是c这时程序上发现c匹配到了第一位于是乎继续匹配下一位这样就对了一定的执行时间，于是乎我们推断出第一位密码是C。

• 预测执行【speculation execution】

这个是CPU的一定优化，因为我们的CPU回去磁盘拿数据然后加载到内存，进行计算处理，虽然内存比磁盘要块的多，但是相对于CPU来讲都是弟弟，内存还是不够看，所以为了优化执行效率，对于一些命令比如：
if（条件）{doSomething（）;} 这个条件CPU需要等待一段时间才拿得到，于是乎CPU先把里面的活干了，条件成立就返回不成立就回滚，这样效率就上来了。

• 幽灵和熔断漏洞【Spectre & Meltdown】

各个进程之间的数据是不共享的所以网抑云想要读取QQ音乐的数据是读不到的，CPU发现你跨域进程读就告诉不给，不过话有说回来由于内存还是太慢了，那么对于有些数据我们会放置在高速缓存中【毕竟太快，所以很贵很珍惜空间不大】所以有些程序的数据就会被读取后放在缓存里，虽然别的程序没办法直接拿但是这个数据已经在缓存中存在了

图中黑色区域有一个数组array 两个元素array[0]、array[1]，如果我们想访问array[6]理论上是访问不到的因为越界了，假如我们有这样的程序data[array[x]] ,如果x = 6 ,假设array[6] = 3,此时data[array[6]] = data[3],如果data[array[x]] 出现在if（条件）{data[array[x]]} ，根据预测执行原理，所以array[6]已经被缓存了，然后程序遍历data数组正常每一个都很慢因为都没有缓存，直到发现data[3]速度快于其他的，所以就知道array[6]是其他程序的数据了。并且可以获取到。

• 如果我上述说的你都没有听懂请移步下面

https://www.bilibili.com/video/av18144159/?spm_id_from=333.788.b_636f6d6d656e74.5
15分钟读懂英特尔熔断幽灵漏洞-Emory

3、说正事

CORB 是浏览器在加载可以跨域资源时，在资源载入页面之前，对其进行识别和拦截的算法。
假如我们请求<img src="https://example.com/important.json"> 如果这个json中有重要的数据那么通过上面的漏洞我们通过一些js代码如：if（条件）{干坏事} 这样就可以拿到json中的秘密数据了。而CORB就是当浏览器尝试以上面代码的方式加载跨域资源时，在资源未被加载之前进行拦截，从而提升攻击者进行幽灵攻击的成本，有三种内容类型受保护，分别是 json、html 和 xml。当一个 response 被 CORB 保护时，它的 body 会被覆盖为空，同时 headers 也会被移除（当前 Chrome 仍然会保留 Access-Control-* 相关的 headers）。

https://www.chromestatus.com/feature/5629709824032768 这里面有一些链接，在公司翻不过去 自己翻吧😥。

4、分析

我这边是去调用第三方请求一个流，然鹅，对面加了header 头检验，而src的方式又没有办法带头过去，所以被拦截了，返回了一个json错误信息触发了CORB规则，被保护了，故报出了一开始的错误。