Điều gì để ngăn chặn mã độc từ giả mạo tiêu đề của Origin Origin để khai thác CORS?

Theo cách tôi hiểu, nếu tập lệnh phía máy khách đang chạy trên một trang từ foo.com muốn yêu cầu dữ liệu từ bar.com, trong yêu cầu, nó phải chỉ định tiêu đề Origin: http://foo.comvà thanh phải đáp ứng Access-Control-Allow-Origin: http://foo.com.

Có gì để ngăn chặn mã độc từ trang web roh.com chỉ đơn giản là giả mạo tiêu đề Origin: http://foo.comđể yêu cầu các trang từ thanh?

Các trình duyệt kiểm soát việc đặt Origintiêu đề và người dùng không thể ghi đè giá trị này. Vì vậy, bạn sẽ không thấy Origintiêu đề giả mạo từ trình duyệt. Người dùng độc hại có thể tạo một yêu cầu cuộn tròn tự đặt Origintiêu đề, nhưng yêu cầu này sẽ đến từ bên ngoài trình duyệt và có thể không có thông tin cụ thể về trình duyệt (như cookie).

Hãy nhớ rằng: CORS không bảo mật. Đừng dựa vào CORS để bảo mật trang web của bạn. Nếu bạn đang phục vụ dữ liệu được bảo vệ, hãy sử dụng cookie hoặc mã thông báo OAuth hoặc thứ gì đó không phải là Origintiêu đề để bảo mật dữ liệu đó. Các Access-Control-Allow-Origintiêu đề trong CORS chỉ mệnh lệnh mà nguồn gốc nên được phép đưa ra yêu cầu cross-xứ. Đừng dựa vào nó để làm gì thêm.

TLDR: Không có gì ngăn chặn mã độc từ giả mạo nguồn gốc. Khi điều đó xảy ra, máy chủ của bạn sẽ không bao giờ biết về nó và sẽ hành động theo yêu cầu. Đôi khi những yêu cầu đó là đắt tiền. Vì vậy, không sử dụng CORS thay cho bất kỳ loại bảo mật nào.

Gần đây tôi đã chơi xung quanh với CORS và tôi đã tự hỏi mình câu hỏi tương tự. Những gì tôi đã tìm thấy là trình duyệt có thể đủ thông minh để biết yêu cầu CORS giả mạo khi thấy yêu cầu, nhưng máy chủ của bạn không thông minh.

Điều đầu tiên tôi tìm thấy là Origintiêu đề là tên tiêu đề bị cấm HTTP không thể sửa đổi theo chương trình. Điều đó có nghĩa là bạn có thể sửa đổi nó trong khoảng 8 giây bằng cách sử dụng Tiêu đề sửa đổi cho Google Chrome .

Để kiểm tra điều này, tôi thiết lập hai miền Máy khách và một miền Máy chủ. Tôi đã bao gồm một danh sách trắng CORS trên Máy chủ, cho phép các yêu cầu CORS từ Máy khách 1 nhưng không phải từ Máy khách 2. Tôi đã thử nghiệm cả hai máy khách và thực sự các yêu cầu CORS của Máy khách 1 đã thành công trong khi Máy khách 2 không thành công.

Sau đó, tôi giả mạo Origintiêu đề của Client 2 để khớp với Client 1. Máy chủ đã nhận được Origintiêu đề giả mạo và đã vượt qua kiểm tra danh sách trắng (hoặc thất bại nếu bạn là một anh chàng nửa người nửa ly). Sau đó, Máy chủ đã thực hiện một cách nghiêm túc bằng cách tiêu thụ tất cả các tài nguyên mà nó được thiết kế để tiêu thụ (cuộc gọi cơ sở dữ liệu, gửi email đắt tiền, gửi tin nhắn sms thậm chí còn đắt hơn, v.v.). Khi đã xong, máy chủ vui vẻ gửi Access-Control-Allow-Origintiêu đề giả mạo trở lại trình duyệt.

Tài liệu tôi đã đọc nói rằng Access-Control-Allow-Origingiá trị nhận được phải khớp Originchính xác với giá trị được gửi trong yêu cầu. Chúng khớp nhau, vì vậy tôi rất ngạc nhiên khi thấy thông báo sau trong Chrome:

XMLHttpRequest không thể tải http://server.dev/test. Tiêu đề 'Kiểm soát truy cập-Cho phép-Xuất xứ' có giá trị http://client1.dev không bằng nguồn gốc được cung cấp. Nguồn gốc http://client2.dev do đó không được phép truy cập.

Các tài liệu tôi đọc dường như không chính xác. Tab mạng của Chrome hiển thị rõ ràng cả tiêu đề yêu cầu và phản hồi http://client1.dev, nhưng bạn có thể thấy trong lỗi mà Chrome bằng cách nào đó biết nguồn gốc thực sự http://client2.devvà từ chối chính xác phản hồi. Điều này không thành vấn đề tại thời điểm này vì máy chủ đã chấp nhận yêu cầu giả mạo và tiêu tiền của tôi.

Chỉ là một gói khiêm tốn:

H: Chính sách nguồn gốc tương tự (SOP) chỉ được thi hành bởi các trình duyệt?
A: Vâng. Đối với tất cả các cuộc gọi bạn thực hiện trong trình duyệt, SOP chắc chắn được trình duyệt áp dụng. Máy chủ có thể hoặc không thể kiểm tra nguồn gốc của yêu cầu.

H: Nếu một yêu cầu không tuân thủ SOP, trình duyệt có chặn yêu cầu đó không?
A: Không, nó vượt quá thẩm quyền của trình duyệt. Các trình duyệt chỉ cần gửi các yêu cầu nguồn gốc chéo và chờ phản hồi để xem liệu cuộc gọi được báo hiệu hợp pháp bởi máy chủ thông qua Access-Control- * tiêu đề. Nếu máy chủ không gửi lại Access-Control-Allow-Origintiêu đề, không phản hồi lại nguồn gốc của người gọi hoặc không gửi lại *trong tiêu đề, thì tất cả những gì trình duyệt sẽ làm là kiềm chế không cung cấp phản hồi cho người gọi.

Q: Có nghĩa là tôi không thể giả mạo Origin?
Trả lời: Trong trình duyệt và sử dụng tập lệnh, bạn không thể ghi đè Originvì nó nằm trong sự kiểm soát của trình duyệt. Tuy nhiên, nếu bạn muốn tự hack, bạn có thể giả mạo các cuộc gọi ra khỏi trình duyệt CỦA BẠN bằng cách sử dụng các tiện ích mở rộng trình duyệt hoặc các công cụ khác mà bạn cài đặt trên máy. Bạn cũng có thể phát hành HTTPcác cuộc gọi sử dụng curl, Python, C#, vv và thay đổi Origintiêu đề để các máy chủ lừa.

Q: Vậy nếu tôi có thể lừa máy chủ bằng cách thay đổi Origin, điều đó có nghĩa CORSlà không an toàn?
A: CORS per se im lặng về bảo mật - tức là xác thực và ủy quyền các yêu cầu. Tùy thuộc vào máy chủ để kiểm tra các yêu cầu và xác thực / ủy quyền cho chúng theo bất kỳ cơ chế nào chúng hoạt động với như cookie và tiêu đề. Phải nói rằng, nó có thể bảo vệ chúng ta nhiều hơn một chút trong trường hợp các cuộc tấn công như XSS:

Ví dụ: Giả sử bạn đã đăng nhập vào trang web của mình và một tập lệnh độc hại cố gắng gửi yêu cầu đến trang web ngân hàng của bạn để hỏi về số dư của bạn: một cuộc tấn công XSS được phản ánh . Trang web ngân hàng của bạn tin tưởng các thông tin đến từ (ở đây thay mặt) trang web của bạn để yêu cầu được xác thực và HTTPphản hồi nhằm mục đích mã độc được phát hành. Nếu trang web ngân hàng của bạn không quan tâm đến việc chia sẻ điểm cuối của nó với các nguồn gốc khác, thì nó không bao gồmAccess-Control-Allow-Origintiêu đề trong phản ứng. Bây giờ, khi nhận được yêu cầu, trình duyệt nhận ra rằng yêu cầu đó là yêu cầu Nguồn gốc chéo, nhưng phản hồi không cho thấy rằng máy chủ rất vui khi chia sẻ tài nguyên (ở đây là điểm cuối truy vấn số dư) với trang web của bạn. Vì vậy, nó phá vỡ dòng chảy, do đó kết quả trả về sẽ không bao giờ đạt đến mã độc.