浏览器跨域读取认证 API 时的 CORS…

当响应包含 CORS 相关头、浏览器可能跨域读取已认证 API 响应时，用于检测和利用 CORS 配置错误。

适用场景

解决思路

1. 检查响应中是否包含 Access-Control-Allow-Origin、Access-Control-Allow-Credentials 或预检（preflight）头，判断是否存在浏览器跨域读取已认证 API 响应的攻击路径。
2. 重点排查高价值配置错误：通配符与凭证同时存在（Access-Control-Allow-Origin: * 加凭证支持）、反射任意 Origin、弱允许列表（后缀/前缀/子串/正则/大小写匹配错误）、接受 null origin、预检信任过宽（方法/头过度放开）、内部 API 或租户数据可被跨域读取。
3. 快速分诊：发送构造的 Origin 头并观察是否被反射；分别在带凭证和不带凭证的情况下测试；用攻击者子域和解析器边界情况探测允许列表绕过；若可读取的数据敏感，则进一步串联到账户或租户影响。
4. 利用 null origin：当服务器允许或反射 null 时，使用 <iframe sandbox="allow-scripts allow-forms" srcdoc="..."> 中的 fetch 携带 credentials: 'include' 读取目标 API，再把结果外带到攻击者服务器；sandboxed iframe、data: URI、file: 协议、跨域重定向链、blob: 不透明源都会发送 Origin: null。
5. 串联子域 XSS 绕过 CORS：若 API 允许 *.target.com，先在任意子域（如 blog.target.com、dev.target.com）找到 XSS，再用 fetch 携带 credentials: 'include' 请求 api.target.com，并用 navigator.sendBeacon 外带数据；同站使 SameSite cookie 被发送，CORS 允许列表又放行子域，形成 SameSite 绕过 + CORS 读取。
6. 为该链做侦察：用 amass、subfinder、crt.sh 枚举子域；对每个子域测试存储型、反射型、DOM 型 XSS；检查 API CORS 是否接受子域 origin；把子域接管候选也纳入。
7. 检测 Vary: Origin 缓存问题：分别用 Origin: https://evil.com 和 Origin: https://target.com 请求同一 URL 并比较响应头；若两者都返回 Access-Control-Allow-Origin: https://evil.com，说明缺少 Vary: Origin，缓存被污染。
8. 利用缓存投毒：先用 Origin: https://attacker.com 预热缓存，等受害者访问同一缓存 URL，缓存的 ACAO 头允许 attacker.com 读取响应，攻击者页面再携带凭证读取该缓存响应。
9. 验证修复：确认响应包含 Vary: Origin、缓存键包含 Origin 头，或 Access-Control-Allow-Origin 不是反射而是硬编码允许列表。
10. 测试常见正则绕过：^https?://.*\.target\.com$ 可被 https://attacker-target.com 绕过；^https?://.*target\.com$ 可被 https://nottarget.com 或 https://attacker.com/.target.com 绕过；子串匹配 target\.com 可被 https://attacker.com?target.com 绕过；^https?://(.*\.)?target\.com$ 可被 https://target.com.attacker.com:443 绕过；回溯型正则可被 https://aaaa...aaa.target.com 触发 ReDoS。
11. 使用 origin 校验绕过测试载荷：https://attacker.com/.target.com、https://target.com.attacker.com、https://attackertarget.com、https://target.com%60attacker.com、https://target.com%2F@attacker.com、https://attacker.com#.target.com、https://attacker.com?.target.com、null。
12. 测试 Unicode 归一化绕过：如 https://ⓣarget.com 这类同形字，部分校验器在比较后归一化 Unicode，而浏览器发送原始值，反之亦然。
13. 利用内部网络 CORS：若内部 API（如 http://192.168.1.100:8080/admin）配置 Access-Control-Allow-Origin: *，诱导内部员工访问攻击者页面，用 fetch 读取内部 API 并外带；可批量探测 http://192.168.1.1/admin/config、http://10.0.0.1:8080/api/users、http://172.16.0.1:9200/_cat/indices、http://localhost:8500/v1/agent/members 等。
14. 通过 CORS 时序做端口扫描：端口开放时连接建立后报 CORS 错误（时序不同），端口关闭时快速拒绝，主机不可达时超时变慢，据此推断内部服务可用性。
15. 结合 DNS rebinding：攻击者控制短 TTL 的 attacker.com，第一次解析到攻击者 IP 提供恶意 JS，第二次解析到 192.168.1.100，页面 fetch attacker.com/admin 实际命中内部服务器，同源策略满足后响应可读。

适用边界 · 注意事项

• 目标不涉及浏览器跨域读取已认证 API 响应时（如纯服务端到服务端调用、无凭证的公开数据）不适用。
• 没有可被浏览器执行的攻击路径（如 API 仅限非浏览器客户端、无 cookie/凭证机制）时价值有限。
• 仅做 JSONP 劫持、同源策略内部机制、蜜罐去匿名化等深度专题时，应加载配套 SCENARIOS.md 而非仅用本技能。