CN113411332B - 一种cors漏洞检测方法、装置、设备及介质 - Google Patents

一种cors漏洞检测方法、装置、设备及介质 Download PDF

Info

Publication number
CN113411332B
CN113411332B CN202110680316.XA CN202110680316A CN113411332B CN 113411332 B CN113411332 B CN 113411332B CN 202110680316 A CN202110680316 A CN 202110680316A CN 113411332 B CN113411332 B CN 113411332B
Authority
CN
China
Prior art keywords
response message
access
detected
url
control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110680316.XA
Other languages
English (en)
Other versions
CN113411332A (zh
Inventor
许鑫磊
范渊
吴卓群
王欣
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
DBAPPSecurity Co Ltd
Original Assignee
DBAPPSecurity Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by DBAPPSecurity Co Ltd filed Critical DBAPPSecurity Co Ltd
Priority to CN202110680316.XA priority Critical patent/CN113411332B/zh
Publication of CN113411332A publication Critical patent/CN113411332A/zh
Application granted granted Critical
Publication of CN113411332B publication Critical patent/CN113411332B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Technology Law (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请公开了一种CORS漏洞检测方法、装置、设备、介质，该方法包括：向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源；接收所述伪造请求对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功；如果是，则判断所述第一响应报文中的Access‑Control‑Allow‑Origin字段内容是否为所述预设值；如果为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。这样能够检测出站点是否存在CORS漏洞，从而避免站点存在CORS漏洞导致的敏感数据被窃取问题。

Description

一种CORS漏洞检测方法、装置、设备及介质
技术领域
本申请涉及网络安全技术领域，特别涉及一种CORS漏洞检测方法、装置、设备、介质。
背景技术
浏览器在使用同源策略(Same origin policy，SOP)的场景下需要跨域资源共享时，会存在目标站点存在CORS漏洞，从而导致窃取敏感数据的问题。该问题不解决会带来一定的危害性，例如，黑客可以通过在自身服务器中构造一个AJAX(AsynchronousJavascript And XML，异步JavaScript和XML)请求页面指定向存在CORS漏洞的目标站点，当访问者访问到这个AJAX请求页面时，就会自动由黑客服务器伪造成用户向目标站点发送请求，由于目标站点存在CORS漏洞，所以不会对来访域名做安全校验和限制，目标站点的服务器会返回正常数据或页面，从而绕过同源策略来达到窃取目标站点的用户或管理员的敏感数据内容的目的。
因此，如何对CORS漏洞进行检测，从而避免站点存在CORS漏洞导致的敏感数据被窃取等问题是本领域技术人员要解决的问题。
发明内容
有鉴于此，本申请的目的在于提供一种CORS漏洞检测方法、装置、设备、介质，能够检测出站点是否存在CORS漏洞，从而避免站点存在CORS漏洞导致的敏感数据被窃取问题。其具体方案如下：
第一方面，本申请公开了一种CORS漏洞检测方法，应用于用户终端上的浏览器，包括：
向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源；
接收所述伪造请求对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功；
如果所述第一响应报文中的响应状态码表示响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。
可选地，所述向待检测URL发送带有Origin头的伪造请求报文之前，还包括：
获取待检测流量数据；
从所述待检测流量数据中提取所述待检测URL。
可选地，所述向待检测URL发送带有Origin头的伪造请求报文之前，包括：
确定所述待检测URL是否处于存活状态；
如果所述待检测URL处于存储状态，则向待检测URL发送带有Origin头的伪造请求报文。
可选地，所述确定所述待检测URL是否处于存活状态，包括：
向所述待检测URL发送访问请求，并接收所述访问请求对应的第二响应报文；
如果所述第二响应报文中的响应状态码表示响应成功，则判定所述待检测URL处于存活状态，否则，判定所述待检测URL处于失效状态。
可选地，所述判定所述待检测URL对应的服务端存在CORS漏洞之后，还包括：
将所述待检测URL、所述伪造请求报文和所述第一响应报文输出到检测结果报告中；
对所述检测结果报告进行存储，并在接收到检测结果显示指令时，对所述检测结果报告进行可视化显示。
可选地，所述判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值之前，还包括：
判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为目标字符，其中，所述目标字符表示所述待检测URL对应的服务端接受任意域名的请求；
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容不为预设字符，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
可选地，所述判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值之前，还包括：
判断所述第一响应报文中是否包括Access-Control-Allow-Credentials字段；
如果所述第一响应报文中不包括Access-Control-Allow-Credentials字段，则直接执行判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值开始的步骤；
如果所述第一响应报文中包括Access-Control-Allow-Credentials字段，则判断所述第一响应报文中的Access-Control-Allow-Credentials字段是否为TURE；
如果所述第一响应报文中的Access-Control-Allow-Credentials字段为TURE，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
第二方面，本申请公开了一种CORS漏洞检测装置，应用于用户终端上的浏览器，包括：
报文发送模块，用于向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源；
响应报文接收模块，用于接收所述伪造请求对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功；
判断模块，用于在所述第一响应报文中的响应状态码为响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；
漏洞检测模块，用于所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值时，则判定所述待检测URL对应的服务端存在CORS漏洞。
第三方面，本申请公开了一种电子设备，包括：
存储器和处理器；
其中，所述存储器，用于存储计算机程序；
所述处理器，用于执行所述计算机程序，以实现前述公开的CORS漏洞检测方法。
第四方面，本申请公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述公开的CORS漏洞检测方法。
可见，本申请先向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源。然后接收所述伪造请求报文对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功。如果所述第一响应报文中的响应状态码表示响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。由于Origin头为与所述浏览器当前所处源不相同的伪造源，这样在接收到所述伪造请求报文对应的第一响应报文中的响应状态码为响应成功，且其中的Access-Control-Allow-Origin字段内容还是所述预设值时，表示所述待检测URL对应的服务器未对所述伪造请求报文中的Origin头的内容进行安全校验，便表明所述待检测URL存在CORS漏洞，这样可以检测出待检测URL是否存在CORS漏洞，从而避免站点存在CORS漏洞导致的敏感数据被窃取问题。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请公开的一种CORS漏洞检测方法流程图；
图2为本申请公开的一种具体的CORS漏洞检测方法流程图；
图3为本申请公开的一种具体的CORS漏洞检测方法流程图；
图4为本申请公开的一种CORS漏洞检测装置结构示意图；
图5为本申请公开的一种电子设备结构图示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
目前，浏览器在使用同源策略的场景下需要跨域资源共享时，会存在目标站点存在CORS漏洞，从而导致窃取敏感数据的问题。该问题不解决会带来一定的危害性，例如，黑客可以通过在自身服务器中构造一个AJAX请求页面指定向存在CORS漏洞的目标站点，当访问者访问到这个AJAX请求页面时，就会自动由黑客服务器伪造成用户向目标站点发送请求，由于目标站点存在CORS漏洞，所以不会对来访域名做安全校验和限制，目标站点的服务器会返回正常数据或页面，从而绕过同源策略来达到窃取目标站点的用户或管理员的敏感数据内容的目的。有鉴于此，本申请提出了一种CORS漏洞检测方法，能够检测出站点是否存在CORS漏洞，从而避免站点存在CORS漏洞导致的敏感数据被窃取问题。
参见图1所示，本申请实施例公开了一种CORS漏洞检测方法，应用于用户终端上的浏览器，该方法包括：
步骤S11：向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源。
在实际应用中需要检测待检测URL(Uniform Resource Locator，统一资源定位符)是否存在CORS漏洞时，可以先向所述待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源。CORS是H5提供的一种机制，通过在HTTP(Hyper Text Transfer Protocol，超文本传输协议)报文中添加特定字段，来告诉浏览器那些不同来源的请求数据哪些是有权访问本地资源，哪些是无权访问的本地资源。CORS使用检查请求头的相关字段和服务器中的规则进行比对来确定是否允许跨域请求，当开发人员制定的匹配规则有缺陷或不够合理，就会造成漏洞的产生。
例如，所述Origin头的所述预设值可以为http://test.com，需要与所述浏览器当前所处的源不一致，且为伪造源，也即，所述预设值可以为互联网中实际上不存在的源。
在实施过程中，所述待检测URL的获取可以通过获取用户输入的URL获取到，也可以通过提取文本中的URL得到，具体的，就是可以获取待检测流量数据；从所述待检测流量数据中提取所述待检测URL。
也即，可以先获取待检测流量数据，其中，所述待检测流量数据中包括URL，然后从所述待检测流量数据中的URL，得到所述待检测URL。
步骤S12：接收所述伪造请求报文对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功。
可以理解的是，在发送所述伪造请求报文之后，还需要接收所述伪造请求报文对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功。其中，所述响应状态码可以为200，表示所述伪造请求报文响应成功。当所述第一响应报文中的响应状态码不为响应成功时，可以直接判定所述待检测URL为无效URL。
步骤S13：如果所述第一响应报文中的响应状态码表示响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
如果所述第一响应报文中的响应状态码表示响应成功，则还需要判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。通过判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值，可以判断所述待检测URL是否存在CORS漏洞。
步骤S14：如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。在所述待检测URL对应的服务器不存在CORS漏洞时，接收到跨域请求时，会先将所述伪造请求报文中的Origin头中的内容与本地设定的允许响应的源进行比对，如果所述伪造请求报文中的Origin头中的内容在本地设定的允许响应的源中，才对所述伪造请求报文进行响应，并在第一响应报文中将所述Origin头中的内容添加到Access-Control-Allow-Origin字段中，但由于所述伪造请求报文中的Origin头的预设值是人为伪造的，不是真实存在的源，所以不会在待检测URL对应的服务器中设定的允许响应的源中，所以如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则表示所述待检测URL对应的服务端在接收到所述伪造请求报文之后，未对所述Origin头中的内容进行安全校验，便直接对所述伪造请求报文进行响应，所以表明所述待检测URL存在漏洞。
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容不为所述预设值，则判定所述待检测URL对应的服务端不存在CORS漏洞。
可见，本申请先向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源。然后接收所述伪造请求报文对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功。如果所述第一响应报文中的响应状态码表示响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。由于Origin头为与所述浏览器当前所处源不相同的伪造源，这样在接收到所述伪造请求报文对应的第一响应报文中的响应状态码为响应成功，且其中的Access-Control-Allow-Origin字段内容还是所述预设值时，表示所述待检测URL对应的服务器未对所述伪造请求报文中的Origin头的内容进行安全校验，便表明所述待检测URL存在CORS漏洞，这样可以检测出待检测URL是否存在CORS漏洞，从而避免站点存在CORS漏洞导致的敏感数据被窃取问题。
参见图2所示，本申请实施例公开了一种具体的CORS漏洞检测方法，应用于用户终端上的浏览器，该方法包括：
步骤S201：确定所述待检测URL是否处于存活状态。
步骤S202：如果所述待检测URL处于存储状态，则向待检测URL发送带有Origin头的伪造请求报文。
在实际过程中，为了避免由于所述待检测URL处于失效状态，却向处于失效状态的待检测状态的URL发送大量伪造请求报文，造成的大量网络资源浪费的问题，可以先确定所述待检测URL是否处于存活状态，如果所述待检测URL处于存活状态，再向所述待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源。
其中，确定所述待检测URL是否处于存活状态，包括：向所述待检测URL发送访问请求，并接收所述访问请求对应的第二响应报文；如果所述第二响应报文中的响应状态码表示响应成功，则判定所述待检测URL处于存活状态，否则，判定所述待检测URL处于失效状态。
也即，先向所述待检测URL发送正常的访问请求，并接收所述访问请求对应的第二响应报文，如果所述第二响应报文中的响应状态码表示响应成功，则表示所述待检测URL处于存活状态，否则，表示所述待检测URL处于失效状态。
这样先将处于失效状态的待检测URL过滤掉，可以减少后续的工作量，提高CORS漏洞检测的效率。
步骤S203：接收所述伪造请求对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功。
步骤S204：如果所述第一响应报文中的响应状态码表示响应成功，则判断所述第一响应报文中是否包括Access-Control-Allow-Credentials字段。
如果所述第一响应报文中的响应状态码表示响应成功时，可以先判断所述第一响应报文中是否包括Access-Control-Allow-Credentials字段。
步骤S205：如果所述第一响应报文中不包括Access-Control-Allow-Credentials字段，则直接执行判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值开始的步骤。
如果所述第一响应报文中不包括Access-Control-Allow-Credentials字段，则可以直接判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
步骤S206：如果所述第一响应报文中包括Access-Control-Allow-Credentials字段，则判断所述第一响应报文中的Access-Control-Allow-Credentials字段是否为TURE。
如果所述第一响应报文中包括Access-Control-Allow-Credentials字段，则需要判断所述第一响应报文中的Access-Control-Allow-Credentials字段是否为TURE。
步骤S207：如果所述第一响应报文中的Access-Control-Allow-Credentials字段为TURE，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
如果所述第一响应报文中的Access-Control-Allow-Credentials字段为TURE，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。如果所述第一响应报文中的Access-Control-Allow-Credentials字段为False，则直接判定所述待检测URL不存在漏洞。
步骤S208：如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。
步骤S209：将所述待检测URL、所述伪造请求报文和所述第一响应报文输出到检测结果报告中。
步骤S210：对所述检测结果报告进行存储，并在接收到检测结果显示指令时，对所述检测结果报告进行可视化显示。
在判定所述待检测URL对应的服务端中存在CORS漏洞之后，还包括将所述待检测URL、所述伪造请求报文和所述第一响应报文输出到检测结果报告中，其中，所述检测结果报告的具体格式可以根据实际情况设定，在此不做具体限定。
还需要对所述检测结果报告包括存储，在接收到检测结果显示指令时，对所述检测结果报告进行可视化显示即可。
在实际应用中，在所述判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值之前，还包括：判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为目标字符，其中，所述目标字符表示所述待检测URL对应的服务端接受任意域名的请求；如果所述第一响应报文中的Access-Control-Allow-Origin字段内容不为预设字符，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。所述目标字符具体可以为“*”。
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为“*”，则表示所述待检测URL对应的服务端接受任意域名的请求，由于在目前的浏览器中，默认限制了Access-Control-Allow-Origin为*的所有跨域请求，导致漏洞无法正常触发，也即，可以认为此时，待检测URL对应的服务端中不存在CORS漏洞，因此先对Access-Control-Allow-Origin是否为*号做判断，能够加快单个目标的检测，对待检测URL的检测率有极大提高，并且在效率方面也有所提升。
参见图3所示，为CORS漏洞检测流程图。首先获取待检测URL，然后设定添加Origin头的伪造请求报文，其中，Origin头为预设值，向待检测URL发送所述伪造请求报文后，获取对应的响应报文，如果响应状态为未响应，则直接判定所述待检测URL为无效URL，如果相应状态为响应成功，则获取响应头，提取Access-Control-Allow-Credentials字段，并判断Access-Control-Allow-Credentials字段内容是否为TRUE，如果否，则判定所述待检测URL不存在CORS漏洞，如果是，则提取Access-Control-Allow-Origin，判断所述Access-Control-Allow-Origin字段内容是否为所述预设值，如果是，则判定所述待检测URL存在漏洞，如果否，则判定所述待检测URL不存在CORS漏洞。
本申请的CORS漏洞检测方法，可以解决开发人员或管理员的疏忽造成的CORS漏洞，且可移植性高，赋能平台效益大，可单独使用也可扩展安全平台的模块化使用。
参见图4所示，本申请实施例公开了一种CORS漏洞检测装置，应用于用户终端上的浏览器，包括：
报文发送模块11，用于向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源；
响应报文接收模块12，用于接收所述伪造请求对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功；
判断模块13，用于在所述第一响应报文中的响应状态码为响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；
漏洞检测模块14，用于所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值时，则判定所述待检测URL对应的服务端存在CORS漏洞。
可见，本申请先向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源。然后接收所述伪造请求报文对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功。如果所述第一响应报文中的响应状态码表示响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞。由于Origin头为与所述浏览器当前所处源不相同的伪造源，这样在接收到所述伪造请求报文对应的第一响应报文中的响应状态码为响应成功，且其中的Access-Control-Allow-Origin字段内容还是所述预设值时，表示所述待检测URL对应的服务器未对所述伪造请求报文中的Origin头的内容进行安全校验，便表明所述待检测URL存在CORS漏洞，这样可以检测出待检测URL是否存在CORS漏洞，从而避免站点存在CORS漏洞导致的敏感数据被窃取问题。
在一些具体的实施过程中，所述CORS漏洞检测装置，还包括：
URL获取模块，用于获取待检测流量数据；从所述待检测流量数据中提取所述待检测URL。
在一些具体的实施过程中，所述CORS漏洞检测装置，还包括：
存活检测模块，用于确定所述待检测URL是否处于存活状态；如果所述待检测URL处于存储状态，则向待检测URL发送带有Origin头的伪造请求报文。
在一些具体的实施过程中，所述存活检测模块，用于：
向所述待检测URL发送访问请求，并接收所述访问请求对应的第二响应报文；
如果所述第二响应报文中的响应状态码表示响应成功，则判定所述待检测URL处于存活状态，否则，判定所述待检测URL处于失效状态。
在一些具体的实施过程中，所述CORS漏洞检测装置，还包括：
报告生成模块，用于将所述待检测URL、所述伪造请求报文和所述第一响应报文输出到检测结果报告中；
存储模块，用于对所述检测结果报告进行存储；
显示模块，用于在接收到检测结果显示指令时，对所述检测结果报告进行可视化显示。
在一些具体的实施过程中，所述判断模块13，用于：
判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为目标字符，其中，所述目标字符表示所述待检测URL对应的服务端接受任意域名的请求；
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容不为预设字符，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
在一些具体的实施过程中，所述判断模块13，用于：
判断所述第一响应报文中是否包括Access-Control-Allow-Credentials字段；
如果所述第一响应报文中不包括Access-Control-Allow-Credentials字段，则直接执行判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值开始的步骤；
如果所述第一响应报文中包括Access-Control-Allow-Credentials字段，则判断所述第一响应报文中的Access-Control-Allow-Credentials字段是否为TURE；
如果所述第一响应报文中的Access-Control-Allow-Credentials字段为TURE，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
图5为本申请实施例提供的一种电子设备20的结构示意图，该电子设备20具体可以包括但不限于智能手机、平板电脑、笔记本电脑或台式电脑等。
通常，本实施例中的电子设备20包括：处理器21和存储器22。
其中，处理器21可以包括一个或多个处理核心，比如四核心处理器、八核心处理器等。处理器21可以采用DSP(digital signal processing,数字信号处理)、FPGA(field-programmable gate array,现场可编程们阵列)、PLA(programmable logic array,可编程逻辑阵列)中的至少一种硬件来实现。处理器21也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(central processing unit,中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器21可以集成有GPU(graphics processing unit,图像处理器)，GPU用于负责显示屏所需要显示的图像的渲染和绘制。一些实施例中，处理器21可以包括AI(artificialintelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。
存储器22可以包括一个或多个计算机可读存储介质，计算机可读存储介质可以是非暂态的。存储器22还可以包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。本实施例中，存储器22至少用于存储以下计算机程序221，其中，该计算机程序被处理器21加载并执行之后，能够实现前述任一实施例中公开的CORS漏洞检测方法步骤。
在一些实施例中，电子设备20还可包括有显示屏23、输入输出接口24、通信接口25、传感器26、电源27以及通信总线28。
本技术领域人员可以理解，图5中示出的结构并不构成对电子设备20的限定，可以包括比图示更多或更少的组件。
进一步的，本申请实施例还公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述任一实施例中公开的CORS漏洞检测方法。
其中，关于上述CORS漏洞检测方法的具体过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
最后，还需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或者操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得一系列包含其他要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上对本申请所提供的一种CORS漏洞检测方法、装置、设备、介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (9)

1.一种CORS漏洞检测方法，其特征在于，应用于用户终端上的浏览器，包括：
向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源；
接收所述伪造请求对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功；
如果所述第一响应报文中的响应状态码表示响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值，则判定所述待检测URL对应的服务端存在CORS漏洞；
所述判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值之前，还包括：
判断所述第一响应报文中是否包括Access-Control-Allow-Credentials字段；
如果所述第一响应报文中不包括Access-Control-Allow-Credentials字段，则直接执行判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值开始的步骤；
如果所述第一响应报文中包括Access-Control-Allow-Credentials字段，则判断所述第一响应报文中的Access-Control-Allow-Credentials字段是否为TURE；
如果所述第一响应报文中的Access-Control-Allow-Credentials字段为TURE，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；
如果所述第一响应报文中的Access-Control-Allow-Credentials字段为False，则直接判定所述待检测URL不存在漏洞。
2.根据权利要求1所述的CORS漏洞检测方法，其特征在于，所述向待检测URL发送带有Origin头的伪造请求报文之前，还包括：
获取待检测流量数据；
从所述待检测流量数据中提取所述待检测URL。
3.根据权利要求1所述的CORS漏洞检测方法，其特征在于，所述向待检测URL发送带有Origin头的伪造请求报文之前，包括：
确定所述待检测URL是否处于存活状态；
如果所述待检测URL处于存储状态，则向待检测URL发送带有Origin头的伪造请求报文。
4.根据权利要求3所述的CORS漏洞检测方法，其特征在于，所述确定所述待检测URL是否处于存活状态，包括：
向所述待检测URL发送访问请求，并接收所述访问请求对应的第二响应报文；
如果所述第二响应报文中的响应状态码表示响应成功，则判定所述待检测URL处于存活状态，否则，判定所述待检测URL处于失效状态。
5.根据权利要求1所述的CORS漏洞检测方法，其特征在于，所述判定所述待检测URL对应的服务端存在CORS漏洞之后，还包括：
将所述待检测URL、所述伪造请求报文和所述第一响应报文输出到检测结果报告中；
对所述检测结果报告进行存储，并在接收到检测结果显示指令时，对所述检测结果报告进行可视化显示。
6.根据权利要求1至5任一项所述的CORS漏洞检测方法，其特征在于，所述判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值之前，还包括：
判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为目标字符，其中，所述目标字符表示所述待检测URL对应的服务端接受任意域名的请求；
如果所述第一响应报文中的Access-Control-Allow-Origin字段内容不为预设字符，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值。
7.一种CORS漏洞检测装置，其特征在于，应用于用户终端上的浏览器，包括：
报文发送模块，用于向待检测URL发送带有Origin头的伪造请求报文，其中，所述Origin头为预设值，且所述预设值为与所述浏览器当前所处源不相同的伪造源；
响应报文接收模块，用于接收所述伪造请求对应的第一响应报文，并判断所述第一响应报文中的响应状态码是否表示响应成功；
判断模块，用于在所述第一响应报文中的响应状态码为响应成功，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；
漏洞检测模块，用于所述第一响应报文中的Access-Control-Allow-Origin字段内容为所述预设值时，则判定所述待检测URL对应的服务端存在CORS漏洞；
所述判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值之前，还包括：
判断所述第一响应报文中是否包括Access-Control-Allow-Credentials字段；
如果所述第一响应报文中不包括Access-Control-Allow-Credentials字段，则直接执行判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值开始的步骤；
如果所述第一响应报文中包括Access-Control-Allow-Credentials字段，则判断所述第一响应报文中的Access-Control-Allow-Credentials字段是否为TURE；
如果所述第一响应报文中的Access-Control-Allow-Credentials字段为TURE，则判断所述第一响应报文中的Access-Control-Allow-Origin字段内容是否为所述预设值；
如果所述第一响应报文中的Access-Control-Allow-Credentials字段为False，则直接判定所述待检测URL不存在漏洞。
8.一种电子设备，其特征在于，包括：
存储器和处理器；
其中，所述存储器，用于存储计算机程序；
所述处理器，用于执行所述计算机程序，以实现权利要求1至6任一项所述的CORS漏洞检测方法。
9.一种计算机可读存储介质，其特征在于，用于保存计算机程序，其中，
所述计算机程序被处理器执行时实现如权利要求1至6任一项所述的CORS漏洞检测方法。
CN202110680316.XA 2021-06-18 2021-06-18 一种cors漏洞检测方法、装置、设备及介质 Active CN113411332B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110680316.XA CN113411332B (zh) 2021-06-18 2021-06-18 一种cors漏洞检测方法、装置、设备及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110680316.XA CN113411332B (zh) 2021-06-18 2021-06-18 一种cors漏洞检测方法、装置、设备及介质

Publications (2)

Publication Number Publication Date
CN113411332A CN113411332A (zh) 2021-09-17
CN113411332B true CN113411332B (zh) 2022-10-04

Family

ID=77681589

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110680316.XA Active CN113411332B (zh) 2021-06-18 2021-06-18 一种cors漏洞检测方法、装置、设备及介质

Country Status (1)

Country Link
CN (1) CN113411332B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114978942A (zh) * 2022-05-13 2022-08-30 深信服科技股份有限公司 一种路由器检测方法、装置及电子设备和存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016066110A (ja) * 2014-09-22 2016-04-28 富士通株式会社 情報処理装置、情報処理装置制御方法及び情報処理装置制御プログラム
CN109688280A (zh) * 2018-08-21 2019-04-26 平安科技（深圳）有限公司 请求处理方法、请求处理设备、浏览器及存储介质
US10404662B1 (en) * 2015-11-10 2019-09-03 Source Defense VICE system, method, and medium for protecting a computer browser from third-party computer code interference
CN111740992A (zh) * 2020-06-19 2020-10-02 北京字节跳动网络技术有限公司 网站安全漏洞检测方法、装置、介质及电子设备

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120124372A1 (en) * 2010-10-13 2012-05-17 Akamai Technologies, Inc. Protecting Websites and Website Users By Obscuring URLs
CN105302815B (zh) * 2014-06-23 2019-06-07 腾讯科技（深圳）有限公司 网页的统一资源定位符url的过滤方法和装置
CN105530218A (zh) * 2014-09-28 2016-04-27 北京奇虎科技有限公司 链接安全检测方法及客户端
CN105975526A (zh) * 2016-04-29 2016-09-28 国家计算机网络与信息安全管理中心 一种url链接有效性的验证方法
WO2017218031A1 (en) * 2016-06-16 2017-12-21 Level 3 Communications, Llc Systems and methods for preventing denial of service attacks utilizing a proxy server
CN106302481A (zh) * 2016-08-19 2017-01-04 中国银联股份有限公司 检测WebSocket跨站请求伪造漏洞的方法和装置
CN107368399A (zh) * 2017-06-28 2017-11-21 武汉斗鱼网络科技有限公司 一种线上网页监控方法及系统
CN110266737B (zh) * 2019-07-30 2021-05-07 杭州安恒信息技术股份有限公司 一种跨域资源共享的漏洞检测方法、装置、设备及介质
CN112347485A (zh) * 2020-11-10 2021-02-09 远江盛邦（北京）网络安全科技股份有限公司 多引擎获取漏洞并自动化渗透的处理方法
CN112507341A (zh) * 2020-12-03 2021-03-16 广州万方计算机科技有限公司 基于网络爬虫的漏洞扫描方法、装置、设备和存储介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016066110A (ja) * 2014-09-22 2016-04-28 富士通株式会社 情報処理装置、情報処理装置制御方法及び情報処理装置制御プログラム
US10404662B1 (en) * 2015-11-10 2019-09-03 Source Defense VICE system, method, and medium for protecting a computer browser from third-party computer code interference
CN109688280A (zh) * 2018-08-21 2019-04-26 平安科技（深圳）有限公司 请求处理方法、请求处理设备、浏览器及存储介质
CN111740992A (zh) * 2020-06-19 2020-10-02 北京字节跳动网络技术有限公司 网站安全漏洞检测方法、装置、介质及电子设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
跨站请求伪造攻击技术浅析;王保锦等;《网络安全技术与应用》;20200515(第05期);全文 *

Also Published As

Publication number Publication date
CN113411332A (zh) 2021-09-17

Similar Documents

Publication Publication Date Title
US10341380B2 (en) Detecting man-in-the-browser attacks
CN103001817B (zh) 一种实时检测网页跨域请求的方法和装置
US20190222587A1 (en) System and method for detection of attacks in a computer network using deception elements
US20150026813A1 (en) Method and system for detecting network link
US10972507B2 (en) Content policy based notification of application users about malicious browser plugins
CN111711617A (zh) 网络爬虫的检测方法、装置、电子设备及存储介质
CN108733559B (zh) 页面事件的触发方法、终端设备及介质
CN112541181A (zh) 一种检测服务器安全性的方法和装置
CN113411332B (zh) 一种cors漏洞检测方法、装置、设备及介质
CN109150790B (zh) Web页面爬虫识别方法和装置
CN114157568A (zh) 一种浏览器安全访问方法、装置、设备及存储介质
CN110457900B (zh) 一种网站监测方法、装置、设备及可读存储介质
US8819049B1 (en) Frame injection blocking
CN113709136B (zh) 一种访问请求验证方法和装置
CN112351009B (zh) 一种网络安全防护方法、装置、电子设备及可读存储介质
CN115189964A (zh) 一种违规外联检测方法、装置、设备、存储介质
CN115242608A (zh) 告警信息的生成方法、装置、设备及存储介质
CN114048483A (zh) Xss漏洞的检测方法、装置、设备及介质
CN106055693A (zh) 一种信息处理方法及终端
CN114553524B (zh) 流量数据处理方法、装置、电子设备及网关
CN111859385B (zh) 应用程序的测试方法、系统及装置
CN116132175B (zh) 一种基于事件驱动网络引擎的远程后门检测方法
KR102645870B1 (ko) 인공지능 알고리즘을 이용하여 피싱 사이트와 연관된 url을 검출하는 방법 및 장치
CN114186274A (zh) 一种保护网站数据的方法、装置、电子设备及介质
CN114268498A (zh) 一种WebSocket检测方法、装置及介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant