trufflesecurity/of-corsАвтоматизированный инструмент для обнаружения неверных конфигураций CORS, использующий домены с опечатками (тайпсквоттинг) и сервис-воркеры браузера для зондирования внутренних сетей целей программ bug bounty.
of-CORS — это набор инструментов Truffle Security для выявления и эксплуатации некорректных настроек CORS во внутренних сетях целей программ bug bounty с помощью тайпсквоттинга.
Подробнее можно прочитать здесь https://trufflesecurity.com/blog/of-CORS
of-CORS — это веб-приложение на Python3, построенное на Django и Django Rest Framework. После настройки и конфигурации of-CORS автоматически регистрирует сервис-воркеры браузера в браузерах любых жертв, посещающих приложение. Эти сервис-воркеры отправляют HTTP-запросы к списку предварительно настроенных внутренних доменов с целью обнаружения некорректных настроек CORS во внутренних сетях. Результаты этих запросов (успешных или нет) затем отправляются обратно в экземпляр of-CORS через API.
После регистрации сервис-воркера в браузере жертвы JavaScript-нагрузка перенаправляет браузер на страницу, которую, по мнению of-CORS, жертва изначально пыталась открыть.
Собранные результаты впоследствии можно просмотреть на минималистичной панели управления, доступной в приложении of-CORS.
Для развертывания of-CORS в собственной среде можно предпринять следующие шаги.
Из-за сложности настройки of-CORS (в первую очередь сложностей с SSL/TLS, DNS и необходимостью разрешать wildcard-запросы к обоим) мы используем двух облачных провайдеров (Heroku и Cloudflare) в стеке приложения и Terraform для автоматизации их настройки.
Начните с покупки домена, на который с большой вероятностью попадет внутренний сотрудник целевой компании. Мы рекомендуем приобрести тайпсквоттинговый домен, похожий на внутренний домен. Мы обнаружили, что ошибки копирования-вставки — хорошая отправная точка.
Например, если компания, CORS которой вы тестируете, использует uberinternal.com для внутренних доменов, вы можете приобрести berinternal.com, чтобы начать получать трафик браузеров от внутренних сотрудников.
of-CORS использует Cloudflare для приема и маршрутизации wildcard-запросов DNS, а также для завершения соединений SSL/TLS.
Вам потребуется активная учетная запись Cloudflare, чтобы правильно настроить DNS для of-CORS. После создания учетной записи Cloudflare вам нужно создать API-ключ (это можно сделать на панели управления здесь).
API-ключ должен иметь достаточные привилегии для добавления, удаления и настройки зон, а также DNS-записей. Это можно сделать, выбрав следующие разрешения на странице создания токена API:
После создания API-токена с нужными разрешениями можно переходить к следующему шагу.
of-CORS использует Heroku для простого развертывания и размещения приложения.
Вам потребуется активная учетная запись Heroku, чтобы запустить стек приложения of-CORS. После создания учетной записи установите инструмент командной строки Heroku (CLI). С установленным CLI вы можете начать аутентифицированный сеанс CLI с помощью следующей команды:
heroku login
Затем вы можете подтвердить, что CLI успешно аутентифицирован, выполнив следующую команду:
heroku whoami
Дополнительная документация по авторизации Heroku CLI для использования с Terraform доступна здесь.
Теперь, когда API-ключи для нашей инфраструктуры готовы, можно приступить к конфигурации of-CORS для развертывания. Взгляните на содержимое следующего примера файла конфигурации YAML, который находится в репозитории:
terraform:
# Вы должны изменить это на уникальную строку, которая является допустимым именем приложения Heroku
heroku_app_name: best-of-cors
# Укажите здесь ваш API-токен Cloudflare
cloudflare_api_token: this-is-my-api-token
hosts:
# Это может быть произвольная строка, но она должна быть уникальной как прямой потомок hosts
testing:
host_domain: 127.0.0.1:8080
redirect_domain: google.com
targets:
- enable-cors.org
- example.com
Вам нужно создать новый файл конфигурации YAML этого формата для развертывания.
В разделе terraform установите heroku_app_name на совместимое с Heroku имя приложения, уникальное для вашей учетной записи. Также добавьте ваш API-ключ Cloudflare, созданный в разделе выше, в директиву cloudflare_api_token.
Раздел hosts определяет домены, на которые of-CORS ожидает получать трафик, и что делать при посещении веб-посетителями. Предположим, у нас есть компания, которую мы атакуем, и мы знаем, что у них есть два внутренних домена (myinternalcorp1.com и myinternalcorp2.com). Мы приобрели домен yinternalcorp1.com в расчете на то, что сотрудники случайно его посетят. В этом случае следует настроить hosts следующим образом:
hosts:
testing_1:
host_domain: yinternalcorp1.com
redirect_domain: myinternalcorp1.com
targets:
- myinternalcorp1.com
- myinternalcorp2.com
Здесь host_domain — это домен, на который ожидается трафик (т.е. приобретенный домен). redirect_domain определяет домен, на который будут перенаправлены жертвы после запуска нагрузки. targets указывает домены, против которых будут запускаться нагрузки при посещении жертвой of-CORS.
Допустим, мы также приобрели yinternalcorp2.com и хотим настроить of-CORS на запуск атак при его посещении. Тогда раздел hosts можно обновить следующим образом:
hosts:
testing_1:
host_domain: yinternalcorp1.com
redirect_domain: myinternalcorp1.com
targets:
- myinternalcorp1.com
- myinternalcorp2.com
testing_2:
host_domain: yinternalcorp2.com
redirect_domain: myinternalcorp2.com
targets:
- myinternalcorp1.com
- myinternalcorp2.com
Теперь, если жертва случайно посетит yinternalcorp1.com или yinternalcorp2.com, будут запущены нагрузки для перечисления некорректных настроек CORS на myinternalcorp1.com и myinternalcorp2.com, а браузер жертвы затем будет перенаправлен на правильный домен.
Вам не потребуется устанавливать Terraform, Heroku, Python при использовании Docker. Просто выполните эту команду, указав правильный путь к вашему yaml-файлу:
docker run -v $PWD/config.yml:/config.yml -it --rm trufflesecurity/of-cors
Развертывание of-CORS зависит от Terraform. Вы можете следовать инструкциям по установке Terraform здесь. После установки бинарный файл terraform должен быть доступен в PATH вашей системы.