CORStest

CORStest

シンプルなCORS設定ミススキャナー

James Kettleの研究に基づく（James Kettle）

CORStestは、Cross-Origin Resource Sharing（CORS）の設定ミスを見つけるためのquick & dirtyなPython 3ツールです。入力として、ドメイン名またはURLのリストを含むテキストファイルを受け取ります。現在、特定のOriginリクエストヘッダーを送信し、Access-Control-Allow-Originレスポンスヘッダーをチェックすることで、以下の潜在的な脆弱性を検出します：

• 開発者のバックドア: JSFiddleやCodePenのような安全でない開発用オリジンがこのリソースにアクセスできる
• オリジンリフレクション: オリジンがACAOヘッダーにそのままエコーされる。任意のサイトがこのリソースにアクセスできる
• Null設定ミス: サンドボックス化されたiframeを介してnullオリジンを強制することで、任意のサイトがアクセスできる
• プレドメインワイルドカード: notdomain.com のアクセスが許可される。攻撃者はこれを簡単に登録できる
• ポストドメインワイルドカード: domain.com.evil.com のアクセスが許可される。攻撃者はこれを登録できる
• サブドメイン許可: sub.domain.com のアクセスが許可される。攻撃者が任意のサブドメインでXSSを見つければ悪用可能
• 非SSLサイト許可: httpオリジンがhttpsリソースへのアクセスを許可される。MitMによる暗号化の破壊を許す
• 無効なCORSヘッダー: ワイルドカードや複数オリジンの誤った使用。セキュリティ上の問題ではないが修正すべき

これらの脆弱性/設定ミスはコンテキストに依存することに注意してください。ほとんどのシナリオでは、Access-Control-Allow-Credentials headerが存在する場合にのみ攻撃者に悪用される可能性があります（-qフラグを参照）。

使用方法

usage: corstest.py [arguments] infile

positional arguments:
  infile         File with domain or URL list

optional arguments:
  -h, --help     show this help message and exit
  -c name=value  Send cookie with all requests
  -p processes   multiprocessing (default: 32)
  -s             always force ssl/tls requests
  -q             quiet, allow-credentials only
  -v             produce a more verbose output

使用例

Alexaトップ750サイト（Access-Control-Allow-Credentialsあり）の設定ミスを検出するCORStestの使用例：

評価

このCORStestをAlexa トップ100万サイト に対して実行した結果は以下の通りです：

絶対数はかなり低いことに注意してください。テストした1,000,000のウェブサイトのうち、メインページでCORSが有効であり、設定ミスの分析が可能だったのはわずか3%だったためです。このテストは、まともな回線（DSL）で約14時間かかりました。高速なインターネット接続をお持ちの場合は、並列プロセス数を -p50 以上に増やしてみてください。

背景

CORS設定ミスの技術的な背景については、こちらの優れたブログ記事を読むか、こちらのトークをご覧ください。CORStestを用いた大規模なCORS設定ミスの評価はこちらに文書化されています。