【Portswigger 学院】CORS

教程和靶场来源于 Burpsuite 的官网 Portswigger：Cross-origin resource sharing (CORS) - PortSwigger

跨域资源共享（Cross-origin resource sharing，CORS）是一种浏览器机制，允许浏览器访问不同源的资源。同源策略的作用是限制浏览器访问不同源的资源的，而 CORS 是为了放宽同源策略的严格限制，允许设置一些策略让浏览器能够访问到不同源的资源。然而，如果 CORS 策略配置不恰当，就存在跨域攻击的风险。

PS：在理解 CORS 跨域的知识时，源（Origin）、网站（website）和域（domain）可以认为是一个东西。

同源策略

同源策略（Same-origin policy，SOP）限制了浏览器访问不同源的资源的能力，在很久以前，这种机制就已经在浏览器中实现了，为了防止恶意跨域访问，因此这会造成窃取敏感数据等攻击。

下面举一个体现同源策略作用的例子，我在 https://cn.bing.com 网站下的控制台用 fetch API 获取百度的资源：

结果被同源策略被限制。在这个过程中，HTTP 请求已经被浏览器发送出去了，但是返回的响应结果由于同源策略的限制，浏览器被禁止访问。

CORS

在 CORS 策略被开发出来之前，开发者们用 JSONP 技术来实现跨域资源访问。

CORS 用一组 HTTP 头设置策略，告诉浏览器需要满足一些条件才能访问跨域的资源。

CORS 规范定义的响应头：

• Access-Control-Allow-Origin：指定允许访问资源的域。
• Access-Control-Expose-Headers：指定浏览器的 JS 代码允许访问哪些额外的响应头（一些基本的响应头默认允许访问）。
• Access-Control-Max-Age：指定了 preflight 请求（预检请求，即 OPTIONS 请求）的结果能够被缓存多久。
• Access-Control-Allow-Credentials：当响应报文返回该响应头并设置为 true 时，浏览器的 JS 代码要设置 XMLHttpRequest.withCredentials 为 true 或 fetch() 的 Request.credentials 设置为 include 模式，响应才会带浏览器开放访问。
• Access-Control-Allow-Methods：指定了访问资源时允许使用的请求方法，用于预检请求的响应。
• Access-Control-Allow-Headers：用于预检请求的响应。其指明了实际请求（预检请求后接下来发送的请求）中允许携带的标头字段。

CORS 规范定义用于跨源请求的请求头：

• Origin：表明预检请求或实际跨源请求的源站，例如 https://www.baidu.com，不包含 path，其值可以为 null。
• Access-Control-Request-Method：用于预检请求，其作用是将实际请求所使用的 HTTP 方法告诉服务器。