CORStest

CORStest

CORS गलत कॉन्फ़िगरेशन के लिए एक सरल स्कैनर

जेम्स केटल के शोध पर आधारित

CORStest एक त्वरित एवं गंदा Python 3 टूल है जो क्रॉस-ओरिजिन रिसोर्स शेयरिंग (CORS) गलत कॉन्फ़िगरेशन खोजने के लिए है। यह एक टेक्स्ट फ़ाइल को इनपुट के रूप में लेता है जिसमें डोमेन नामों या URL की सूची हो सकती है। वर्तमान में, निम्नलिखित संभावित कमजोरियों का पता एक निश्चित Origin अनुरोध हेडर भेजकर और Access-Control-Allow-Origin प्रतिक्रिया हेडर की जाँच करके लगाया जाता है:

• डेवलपर बैकडोर: JSFiddle या CodePen जैसे असुरक्षित डेवलपमेंट ऑरिजिन को इस संसाधन तक पहुँच की अनुमति है
• ऑरिजिन रिफ्लेक्शन: ऑरिजिन को ACAO हेडर में सीधे प्रतिध्वनित किया जाता है, किसी भी साइट को इस संसाधन तक पहुँच की अनुमति है
• Null गलत कॉन्फ़िगरेशन: सैंडबॉक्स्ड iframe के माध्यम से null ऑरिजिन को बाध्य करके किसी भी साइट को पहुँच की अनुमति है
• प्री-डोमेन वाइल्डकार्ड: notdomain.com को पहुँच की अनुमति है, जिसे एक हमलावर आसानी से पंजीकृत कर सकता है
• पोस्ट-डोमेन वाइल्डकार्ड: domain.com.evil.com को पहुँच की अनुमति है, जिसे एक हमलावर पंजीकृत कर सकता है
• उपडोमेन की अनुमति: sub.domain.com को पहुँच की अनुमति है, यदि हमलावर किसी उपडोमेन में XSS पाता है तो इसका शोषण किया जा सकता है
• गैर-SSL साइटों की अनुमति: HTTP ऑरिजिन को HTTPS संसाधन तक पहुँच की अनुमति है, जो MitM को एन्क्रिप्शन तोड़ने की अनुमति देता है
• अमान्य CORS हेडर: वाइल्डकार्ड या एकाधिक ऑरिजिन का गलत उपयोग, यह सुरक्षा समस्या नहीं है लेकिन इसे ठीक किया जाना चाहिए

ध्यान दें कि ये कमजोरियाँ/गलत कॉन्फ़िगरेशन संदर्भ पर निर्भर हैं। अधिकांश परिदृश्यों में, उनका शोषण केवल एक हमलावर द्वारा तब किया जा सकता है जब Access-Control-Allow-Credentials header मौजूद हो (-q फ्लैग देखें)।

उपयोग

usage: corstest.py [arguments] infile

positional arguments:
  infile         File with domain or URL list

optional arguments:
  -h, --help     show this help message and exit
  -c name=value  Send cookie with all requests
  -p processes   multiprocessing (default: 32)
  -s             always force ssl/tls requests
  -q             quiet, allow-credentials only
  -v             produce a more verbose output

उदाहरण

एलेक्सा की शीर्ष 750 साइटों के लिए गलत कॉन्फ़िगरेशन का पता लगाने के लिए CORStest का उपयोग (Access-Control-Allow-Credentials के साथ):

मूल्यांकन

एलेक्सा शीर्ष 1 मिलियन साइटों पर इस CORStest को चलाने पर निम्नलिखित परिणाम प्राप्त होते हैं:

ध्यान दें कि पूर्ण संख्याएँ काफी कम हैं, क्योंकि परीक्षण की गई 1,000,000 वेबसाइटों में से केवल 3% ने अपने मुख्य पृष्ठ पर CORS सक्षम किया था और गलत कॉन्फ़िगरेशन के लिए विश्लेषण किया जा सका। यह परीक्षण एक सामान्य लाइन (DSL) पर लगभग 14 घंटे तक चला। यदि आपके पास तेज़ इंटरनेट कनेक्शन है, तो समानांतर प्रक्रियाओं की संख्या को -p50 या अधिक तक बढ़ाने का प्रयास करें।

पृष्ठभूमि

CORS गलत कॉन्फ़िगरेशन के तकनीकी पृष्ठभूमि के बारे में अधिक जानकारी इस बेहतरीन ब्लॉगपोस्ट में पढ़ें या इस वार्ता को देखें। CORStest का उपयोग करके CORS गलत कॉन्फ़िगरेशन का एक बड़े पैमाने पर मूल्यांकन यहाँ प्रलेखित है।