⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

HUNT-CORS — Má configuração de Compartilhamento de Recursos de Origem Cruzada

O que realmente vale a pena (e o que não vale)

CORS vale Alto apenas quando uma origem controlada pelo atacante pode realizar uma leitura de origem cruzada com credenciais de dados autenticados sensíveis, e você tem um PoC de navegador provando que o corpo da resposta é legível a partir de evil.com.

Duas regras rígidas do navegador que anulam a maioria das "descobertas" — verifique estas PRIMEIRO:

• Access-Control-Allow-Origin: * NÃO PODE ser combinado com credenciais. Se o servidor retornar ACAO: *, o navegador se recusa a enviar/expor a resposta para uma solicitação credentials: include. Um endpoint apenas com wildcard não é explorável com credenciais. Ele só é interessante se os dados que ele serve forem sensíveis sem uma sessão (raro) — geralmente isso é Informacional/Baixo.
• Access-Control-Allow-Credentials: true é sem sentido por si só. Ele só importa se ACAO refletir/permitir sua origem de atacante específica E uma leitura de origem cruzada com credenciais fetch realmente retornar um corpo legível. ACAC em uma resposta que não reflete sua origem não prova nada.

Se você não conseguir demonstrar um corpo autenticado legível de origem cruzada em um navegador real, você não tem um Alto. Não envie apenas a comparação de cabeçalhos.

Alvos de Joias da Coroa

• Refletir-qualquer-origem + credenciais — o servidor ecoa o cabeçalho Origin E define ACAC: true → qualquer site lê respostas de API autenticadas. O clássico Alto.
• Confiança de origem nula — ACAO: null + ACAC: true. Um iframe sandbox (ou uma cadeia de data:/redirecionamento) emite Origin: null, então qualquer página pode ler dados autenticados.
• Bypass de regex de subdomínio — regex de origem confiável com uma falha de análise. O payload correto depende de qual falha (veja Fase 3 — é aqui que a maioria das habilidades erra).
• Tomada de subdomínio → origem confiável — um subdomínio pendente que a política CORS confia; tome posse dele, hospede o PoC lá (veja hunt-subdomain).
• postMessage com verificação de origem ausente/frouxa — manipulador que processa event.data sem validar estritamente event.origin.

Sinais de Superfície de Ataque

Any endpoint returning an Access-Control-Allow-Origin header
API endpoints:   /api/*, /v1/*, /graphql
Profile/account: /api/me, /api/profile, /api/user, /api/session
Secrets/tokens:  /api/tokens, /api/keys, /api/csrf, /api/account/settings
Financial:       /api/balance, /api/transactions
Admin/internal:  /api/admin/*, /api/internal/*

Priorize endpoints que (a) exigem um cookie de sessão e (b) retornam PII, tokens, tokens CSRF ou outros segredos no corpo.

Metodologia de Caça Passo a Passo

Fase 1 — Descobrir endpoints CORS

# Probe API endpoints. Use GET (not -I): some servers only emit CORS on GET,
# and -I sends HEAD which may be handled differently.
while read url; do
  result=$(curl -s -D - -o /dev/null "$url" \
    -H "Origin: https://evil.com" \
    -H "Cookie: $SESSION_COOKIE" | grep -i "access-control")
  [ -n "$result" ] && echo "=== $url ===" && echo "$result"
done < recon/$TARGET/api-endpoints.txt

# httpx bulk check
cat recon/$TARGET/live-hosts.txt | awk '{print $1}' | \
  httpx -H "Origin: https://evil.com" -match-string "access-control-allow-origin"

Fase 2 — Refletir-qualquer-origem + origem nula

# O servidor reflete uma Origem arbitrária de volta?
curl -s -D - -o /dev/null https://$TARGET/api/me \
  -H "Origin: https://evil.com" \
  -H "Cookie: $SESSION_COOKIE" | grep -i "access-control"

# Vulnerável (o caso Alto):
#   Access-Control-Allow-Origin: https://evil.com   <- reflete a origem do atacante
#   Access-Control-Allow-Credentials: true          <- + credenciais => legível
#

…