CORStest

CORStest

Un semplice scanner di configurazioni errate CORS

Basato sulla ricerca di James Kettle

CORStest è uno strumento Python 3 rapido e sporco per trovare configurazioni errate di Cross-Origin Resource Sharing (CORS). Prende un file di testo come input che può contenere un elenco di nomi di dominio o URL. Attualmente, vengono rilevate le seguenti potenziali vulnerabilità inviando uno specifico header di richiesta Origin e controllando l'header di risposta Access-Control-Allow-Origin:

• Backdoor dello sviluppatore: Origini di sviluppo non sicure come JSFiddle o CodePen possono accedere a questa risorsa
• Riflessione dell'origin: L'origin viene semplicemente ripetuto nell'header ACAO, qualsiasi sito può accedere a questa risorsa
• Configurazione errata null: Qualsiasi sito può accedere forzando l'origin null tramite un iframe in sandbox
• Wildcard pre-dominio: nondominio.com ha accesso consentito, che può essere semplicemente registrato da un attaccante
• Wildcard post-dominio: dominio.com.malvagio.com ha accesso consentito, che può essere registrato da un attaccante
• Sottodomini consentiti: sub.dominio.com ha accesso consentito, sfruttabile se l'attaccante trova XSS in qualsiasi sottodominio
• Siti non SSL consentiti: Un'origine http può accedere a una risorsa https, permettendo a un MitM di rompere la crittografia
• Header CORS non valido: Uso errato del wildcard o di origini multiple, non è un problema di sicurezza ma dovrebbe essere corretto

Nota che queste vulnerabilità/configurazioni errate dipendono dal contesto. Nella maggior parte degli scenari, possono essere sfruttate da un attaccante solo se l'header Access-Control-Allow-Credentials è presente (vedi flag -q).

Utilizzo

usage: corstest.py [arguments] infile

positional arguments:
  infile         File con elenco di domini o URL

optional arguments:
  -h, --help     mostra questo messaggio di aiuto ed esce
  -c name=value  Invia cookie con tutte le richieste
  -p processes   multiprocessing (predefinito: 32)
  -s             forza sempre richieste ssl/tls
  -q             silenzioso, solo allow-credentials
  -v             produce un output più verboso

Esempio

Uso di CORStest per rilevare configurazioni errate per i primi 750 siti Alexa (con Access-Control-Allow-Credentials):

Valutazione

Eseguendo questo CORStest sui primi 1 milione di siti Alexa si ottengono i seguenti risultati:

Nota che i numeri assoluti sono piuttosto bassi, perché solo il 3% dei 1.000.000 di siti web testati aveva CORS abilitato sulla loro pagina principale e poteva essere analizzato per configurazioni errate. Questo test ha impiegato circa 14 ore su una linea decente (DSL). Se hai una connessione Internet veloce, prova ad aumentare il numero di processi paralleli a -p50 o più.

Contesto

Leggi di più sul background tecnico delle configurazioni errate CORS in questo bel blogpost o guarda questo talk. Una valutazione su larga scala delle configurazioni errate CORS usando CORStest è documentata qui.