Burp Suite检测到CORS任意源信任漏洞，请求技术分析

检测到的问题 #

• 问题类型：跨源资源共享（CORS）信任任意源
• 影响路径：/plugins/angular-1.8.1/angular.min.js

问题细节 #

目标应用对该路径的请求设置的CORS策略允许任意域名访问，同时还允许null源的请求。支持null源意味着攻击者可以通过沙箱化iframe发起请求，让浏览器提交null源，从而实现第三方域名和目标应用的双向交互。

风险分析 #

CORS的核心作用是控制第三方域名与目标站点的双向交互权限，合理配置能实现细粒度的访问控制。但信任任意源等于直接绕过了同源策略的保护：

1. 如果响应头同时设置了Access-Control-Allow-Credentials: true，第三方恶意网站可以诱导用户访问，在用户浏览器中发起带凭证的请求，执行特权操作（比如获取用户敏感数据、提交恶意操作）；
2. 即便没开启凭证支持，攻击者也可以利用用户的浏览器作为代理，绕过目标站点基于IP的访问控制规则，发起未授权的请求。

结论与修复建议 #

这个问题的本质是CORS策略配置过于宽松，完全失去了跨域访问的限制能力。针对该路径的修复建议：

• 严格限制Access-Control-Allow-Origin的值，只填写需要跨域访问该资源的可信域名，避免使用*或者允许null源；
• 如果该资源不需要跨域访问，直接移除所有CORS相关响应头；
• 若必须开启跨域凭证支持，确保Access-Control-Allow-Origin不能设为*，只能指定具体可信域名，同时避免允许null源。

内容的提问来源于stack exchange，提问作者alpha demo