Corsy

ماسح ضوئي لسوء تكوين CORS

مقدمة

Corsy هو برنامج خفيف يفحص جميع سوء التكوينات المعروفة في تطبيقات CORS.

المتطلبات

Corsy يعمل فقط مع Python 3 ولديه تبعية واحدة فقط:

• requests

لتثبيت هذه التبعية، انتقل إلى مجلد Corsy ونفّذ pip3 install requests

الاستخدام

استخدام Corsy بسيط جداً

python3 corsy.py -u https://example.com

فحص URLs من ملف

python3 corsy.py -i /path/urls.txt

فحص URLs من الإدخال القياسي (stdin)

cat urls.txt | python3 corsy.py

عدد الخيوط

python3 corsy.py -u https://example.com -t 20

التأخير بين الطلبات

python3 corsy.py -u https://example.com -d 2

تصدير النتائج إلى JSON

python3 corsy.py -i /path/urls.txt -o /path/output.json

رؤوس HTTP مخصصة

python3 corsy.py -u https://example.com --headers "User-Agent: GoogleBot\nCookie: SESSION=Hacked"

تخطي طباعة النصائح

يمكن استخدام -q لتخطي طباعة الحقول description و severity و exploitation في المخرجات.

الاختبارات المنفذة

• Pre-domain bypass
• Post-domain bypass
• Backtick bypass
• Null origin bypass
• Unescaped dot bypass
• Underscore bypass
• Invalid value
• Wild card value
• Origin reflection test
• Third party allowance test
• HTTP allowance test