santandersecurityresearch/corsair_scan自動化されたCORS設定ミススキャナーで、WebアプリケーションとAPI全体でOriginヘッダーインジェクション、ワイルドカードリフレクション、資格情報漏洩をテストします。
Corsair_scan は、Cross-Origin Resource Sharing (CORS) の設定ミスをテストするセキュリティツールです。CORS は、Web ページ上の制限されたリソースを、最初のリソースが提供されたドメインとは異なるドメインから要求できるようにするメカニズムです。これが適切に設定されていない場合、無許可のドメインがそれらのリソースにアクセスできるようになります。
CORS は HTTP ヘッダーベースのメカニズムで、サーバーがブラウザにリソースの読み込みを許可する自身以外のオリジン（ドメイン、スキーム、ポート）を指定できるようにします。これは、サーバーが Web ブラウザからその情報を読み取ることを許可するオリジンを記述する新しい HTTP ヘッダーを追加することで動作します。
CORS はまた、ブラウザがクロスオリジンリソースをホストするサーバーに「プリフライト」リクエストを送信し、サーバーが実際のリクエストを許可するかどうかを確認するメカニズムにも依存しています。そのプリフライトで、ブラウザは実際のリクエストで使用される HTTP メソッドとヘッダーを示すヘッダーを送信します。
CORS を実装する際の最も一般的かつ問題となるセキュリティ上の問題は、リクエスト元の検証/ホワイトリスト化の失敗です。Access-Control-Allow-Origin の値が '*' に設定されているのをよく見かけます。
残念ながら、これはデフォルトであり、そのため Web 上の任意のドメインがそのサイトのリソースにアクセスできるようになります。
OWASP アプリケーションセキュリティ検証標準 (ASVS) の要件 14.5.3 には次のように記載されています。
Cross-Origin Resource Sharing (CORS) の Access-Control-Allow-Origin ヘッダーが信頼できるドメインとサブドメインの厳格な許可リストを使用して照合し、"null" オリジンをサポートしていないことを確認する。
Corsair_scan は、パラメータとして受け取ったリクエスト（またはリクエストのリスト）を再送信し、Origin ヘッダーに値を注入することで動作します。このリクエストに対するレスポンスの Access-Control-Allow-Origin ヘッダーの内容に応じて、CORS 設定が正しいかどうかを判断できます。CORS が誤って設定されていることを示すシナリオは3つあります。
CORS が誤って設定されていることが判明した場合、レスポンスに Access-Control-Allow-Credentials ヘッダーが含まれているかどうかを確認します。これは、サーバーがクロスオリジンリクエストに資格情報を含めることを許可していることを意味します。
多くの場合、CORS 設定ではワイルドカードが使用されます。たとえば、* example.com * の下にあるすべてを受け入れるなどです。これは、与えられた正規表現に一致するため、オリジン domain.com.evil.com が受け入れられることを意味します。これに対抗するために、corsair_scan は4つのシナリオをテストします。
このプロジェクトは Python 3.9 で開発されましたが、Python 3.x のすべてのバージョンで動作するはずです。インストールする最良の方法は pip を使用することです。
pip3 install corsair_scan --user
Corsair は Python モジュールとしても CLI としても使用できます。
CORS スキャンを実行するメソッドは corsair_scan です。以下にその定義を示します。
リクエストのリストと、リクエスト内の証明書チェックを有効/無効にするパラメータを受け取ります。
入力:
data [List]: リクエストのリスト。各リクエストは、そのリクエストに関連するデータを含む辞書です。
verify [Boolean] [デフォルト: True] : 各リクエストに対して corsair_scan_single_url にこの値を送信します
出力:
import corsair_scan.corsair_scan as corsair
url_data = {}
data = []
verb = 'GET'
url = 'https://example.com/'
params = 'user=user1&password=1234'
headers = {'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8',
'Accept-Language': 'en-GB,en;q=0.5', 'Connection': 'keep-alive', 'Upgrade-Insecure-Requests': '1',
'Origin': 'https://example.com',
'Host': 'example.com'}
url_data['verb'] = verb
url_data['url'] = url
url_data['params'] = params
url_data['headers'] = headers
data.append(url_data)
print (corsair.corsair_scan(data, verify=True))
レスポンス:
{'report': [{'fake_origin': {'Access-Control-Allow-Origin': 'https://scarymonster.com',
'Origin': 'https://scarymonster.com',
'credentials': True,
'error': False,
'misconfigured': True,
'status_code': 200},
'post-domain': {'Access-Control-Allow-Origin': 'https://example.com.scarymonster.com',
'Origin': 'https://example.com.scarymonster.com',
'credentials': True,
'error': False,
'misconfigured': True,
'status_code': 200},
'pre-domain': {'Access-Control-Allow-Origin': 'https://scarymonsterexample.com',
'Origin': ' https://scarymonsterexample.com',
'credentials': True,
'error': False,
'misconfigured': True,
'status_code': 200},
'sub-domain': {'Access-Control-Allow-Origin': 'https://scarymonster.example.com',
'Origin': 'https://scarymonster.example.com',
'credentials': True,
'error': False,
'misconfigured': True,
'status_code': 200},
'url': 'https://example.com/',
'verb': 'GET'}],
'summary': {'error': [], 'misconfigured': [{'credentials': True,
'misconfigured_test': ['fake_origin',
'sub-domain',
'pre-domain',
'post-domain'],
'status_code': 200,
'url': 'https://domain.com',
'verb': 'GET'}]}}
pip パッケージのインストールの一部として、CLI もインストールされます。実行する構文は次のとおりです。
corsair FILE [-nv/--noverify][-r/--report]
CLI はスキャンを実行するためにリクエストのリストを含む JSON ファイルを必要とします。サンプルファイルが テストの一部として 提供されています。
:
[{
"verb": "GET",
"url": "https://example.com/",
"params": "user=user1&password=1234",
"headers": {
"Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8",
"Accept-Language": "en-GB,en;q=0.5",
"Connection": "keep-alive",
"Upgrade-Insecure-Requests": "1",
"Origin": "https://example.com",
"Host": "example.com"
}
}]
オプションのパラメータも2つあります。
Corsair_scan は Santander UK のセキュリティエンジニアリングチームによって開発されました。メンバーは以下のとおりです。