CORS配置安全问题教学文档

1. CORS基础概念

CORS（Cross-Origin Resource Sharing，跨域资源共享）是一种机制，允许Web应用服务器进行跨域访问控制，从而使跨域数据传输得以安全进行。

1.1 同源策略

同源策略是浏览器的基本安全功能，要求"同源"（协议、域名、端口相同）才能进行完整交互。同源策略限制包括：

• 无法读取不同源的cookie、localStorage、indexDB
• 无法获取不同源的DOM
• 无法发送AJAX请求到不同源

1.2 CORS的作用

CORS通过特定的HTTP头部，允许服务器声明哪些源站可以通过浏览器访问该资源，从而放宽同源策略的限制。

2. CORS相关HTTP头部

2.1 响应头部

1. Access-Control-Allow-Origin

   • 指定哪些外域可以访问资源
   • 值可以是具体域名或通配符*
   • 示例：Access-Control-Allow-Origin: http://example.com

2. Access-Control-Allow-Credentials

   • 指示是否允许浏览器在跨域请求中发送凭据（如cookies）
   • 值为true或false
   • 示例：Access-Control-Allow-Credentials: true

3. Access-Control-Expose-Headers

   • 指定哪些头部可以暴露给JavaScript
   • 示例：Access-Control-Expose-Headers: X-Custom-Header

4. Access-Control-Max-Age

   • 指定预检请求结果的缓存时间
   • 示例：Access-Control-Max-Age: 86400

5. Access-Control-Allow-Methods

   • 指定允许的HTTP方法
   • 示例：Access-Control-Allow-Methods: GET, POST, PUT

6. Access-Control-Allow-Headers

   • 指定允许的请求头部
   • 示例：Access-Control-Allow-Headers: X-Custom-Header

2.2 请求头部

1. Origin

   • 表明请求来源
   • 示例：Origin: http://example.com

2. Access-Control-Request-Method

   • 用于预检请求，声明实际请求将使用的HTTP方法
   • 示例：Access-Control-Request-Method: POST

3. Access-Control-Request-Headers

   • 用于预检请求，声明实际请求将携带的自定义头部
   • 示例：Access-Control-Request-Headers: X-Custom-Header

3. CORS安全风险

3.1 错误配置示例

案例中发现的作业帮CORS配置问题：

Access-Control-Allow-Origin: http://2PZaB9f2.com
Access-Control-Allow-Credentials: true

这种配置存在严重安全隐患：

1. 允许特定域（2PZaB9f2.com）的跨域请求
2. 同时允许携带用户凭据（cookies等）

3.2 潜在攻击场景

1. 敏感数据泄露

   • 攻击者可以在恶意网站(2PZaB9f2.com)上放置JavaScript代码
   • 代码会向作业帮发起跨域请求，携带用户cookies
   • 获取用户敏感信息（如个人资料、学习记录等）

2. CSRF攻击增强

   • 结合CORS和CSRF，攻击者可以执行更复杂的操作
   • 不仅能发起请求，还能读取响应内容

3. 会话劫持

   • 通过获取的会话令牌，攻击者可以模拟用户身份

4. 安全配置建议

4.1 基本原则

1. 严格限制Access-Control-Allow-Origin

   • 避免使用通配符*
   • 只允许信任的特定域名

2. 谨慎使用Access-Control-Allow-Credentials

   • 除非绝对必要，否则不要设置为true
   • 如果必须使用，确保Access-Control-Allow-Origin不是通配符

3. 限制暴露的头部

   • 只暴露必要的头部给JavaScript

4.2 具体配置示例

安全配置：

Access-Control-Allow-Origin: https://trusted-domain.com
Access-Control-Allow-Credentials: false
Access-Control-Expose-Headers: X-Request-ID
Access-Control-Allow-Methods: GET, POST

4.3 其他防护措施

1. 实施CSRF防护

   • 使用CSRF令牌
   • 检查Referer头部

2. 会话管理

   • 设置Secure和HttpOnly标志的cookies
   • 使用短期会话令牌

3. 输入验证

   • 验证所有输入数据
   • 过滤潜在的恶意请求

5. 漏洞检测方法

1. 手动测试

   • 修改请求中的Origin头部，观察服务器响应
   • 检查Access-Control-Allow-Origin和Access-Control-Allow-Credentials

2. 自动化扫描

   • 使用安全扫描工具检测CORS配置问题
   • 定期进行安全审计

3. 代码审查

   • 审查服务器端CORS配置代码
   • 确保没有动态接受任意Origin

6. 总结

CORS是一项强大的功能，但错误配置会导致严重的安全问题。开发人员必须：

• 充分理解CORS机制和安全影响
• 实施最小权限原则配置CORS
• 定期审查和测试CORS配置
• 结合其他安全措施提供纵深防御

通过正确的配置和管理，可以在保持功能性的同时确保Web应用的安全性。