Testando Configuração Incorreta de CORS

Quando Usar

• Durante testes de penetração autorizados ao avaliar endpoints de API para controles de acesso cross-origin.
• Ao testar aplicações de página única que fazem requisições de API cross-origin.
• Para avaliar se dados sensíveis podem ser exfiltrados da sessão do navegador de uma vítima.
• Ao avaliar arquiteturas de microsserviços com múltiplos domínios compartilhando dados.
• Durante auditorias de segurança de aplicações que usam cabeçalhos CORS para comunicação entre domínios.

Pré-requisitos

• Autorização: Acordo escrito de teste de penetração para o alvo.
• Burp Suite Professional: Para interceptar e modificar cabeçalhos Origin.
• Navegador com DevTools: Para observar o comportamento de CORS em um contexto de navegador real.
• Servidor web do atacante: Para hospedar páginas de PoC de exploração de CORS.
• curl: Para testes manuais de cabeçalhos CORS.
• Servidor HTTP Python: Para hospedar páginas de exploit localmente.

Fluxo de Trabalho

Passo 1: Identificar a Configuração de CORS nos Endpoints de Destino

Verifique todos os endpoints de API em busca de cabeçalhos de resposta CORS.

# Test with a foreign Origin header
curl -s -I \
  -H "Origin: https://evil.example.com" \
  "https://api.target.example.com/api/user/profile"

# Check for CORS headers in response:
# Access-Control-Allow-Origin: https://evil.example.com  (BAD: reflects any origin)
# Access-Control-Allow-Origin: *  (BAD if with credentials)
# Access-Control-Allow-Credentials: true  (allows cookies)
# Access-Control-Allow-Methods: GET, POST, PUT, DELETE
# Access-Control-Allow-Headers: Authorization, Content-Type
# Access-Control-Expose-Headers: X-Custom-Header

# Test multiple endpoints
for endpoint in /api/user/profile /api/user/settings /api/transactions \
  /api/admin/users /api/account/balance; do
  echo "=== $endpoint ==="
  curl -s -I \
    -H "Origin: https://evil.example.com" \
    "https://api.target.example.com$endpoint" | \
    grep -i "access-control"
  echo
done

Passo 2: Testar Reflexão de Origem e Bypass de Validação

Determine como o servidor valida o cabeçalho Origin.

# Test 1: Arbitrary origin reflection
curl -s -I -H "Origin: https://evil.com" \
  "https://api.target.example.com/api/user/profile" | grep -i "access-control-allow-origin"

# Test 2: Null origin
curl -s -I -H "Origin: null" \
  "https://api.target.example.com/api/user/profile" | grep -i "access-control-allow-origin"

# Test 3: Subdomain matching bypass
curl -s -I -H "Origin: https://evil.target.example.com" \
  "https://api.target.example.com/api/user/profile" | grep -i "access-control-allow-origin"

# Test 4: Prefix/suffix matching bypass
curl -s -I -H "Origin: https://target.example.com.evil.com" \
  "https://api.target.example.com/api/user/profile" | grep -i "access-control-allow-origin"

curl -s -I -H "Origin: https://eviltarget.example.com" \
  "https://api.target.example.com/api/user/profile" | grep -i "access-control-allow-origin"

# Test 5: Protocol downgrade
curl -s -I -H "Origin: http://target.example.com" \
  "https://api.target.example.com/api/user/profile" | grep -i "access-control-allow-origin"

# Test 6: Special characters in origin
curl -s -I -H "Origin: https://target.example.com%60.evil.com" \
  "https://api.target.example.com/api/user/profile" | grep -i "access-control-allow-origin"

# Test 7: Wildcard with credentials check
curl -s -I -H "Origin: https://evil.com" \
  "https://api.target.example.com/api/public" | grep -iE "access-control-allow-(origin|credentials)"
# Wildcard (*) + credentials (true) is invalid per spec but some servers misconfigure

Passo 3: Testar o Tratamento de Requisições Preflight

Avalie como o servidor lida com requisições OPTIONS preflight.

# Enviar requisição preflight
curl -s -I -X OPTIONS \
  -H "Origin: https://evil.example.com" \
  -H "Access-Control-Request-Method: PUT" \
  -H "Access-Control-Request-Headers: Authorization, Content-Type" \
  "https://api.target.example.com/api/user/profile"

# Verificar:
# Access-Control-Allow-Methods: deve listar apenas os métodos necessários
# Access-Control-Allow-Headers: deve listar apenas os cabeçalhos necessários
# Access-Control-Max-Age: duração do cache preflight (longo = arriscado)

# Testar se métodos perigosos são permitidos
curl -s -I -X OPTIONS \
  -H "Origin: https://evil.example.com" \
  -H "Access-Control-Request-Method: DELETE" \
  "https://api.target.example.com/api/user/profile" | \
  grep -i "access-control-allow-methods"

# Testar se o preflight é cacheado por muito tempo
curl -s -I -X OPTIONS \
  -H "Origin: https://evil.example.com" \

…