嘿， 细小伙伴们，今天咱们来聊聊一个听起来有点麻烦，但其实吧hen关键的网络问题——跨域材料共享漏洞。听起来是不是有点像外星语？别担心，我来给巨大家轻巧松说明白一下然后教巨大家怎么护着我们的网站不被恶劣人打。

先说说啥是跨域材料共享漏洞呢？轻巧松 就是浏览器允许网页上的JavaScript代码向其他网站发送求，这样我们就Neng从其他网站获取信息。但是这玩意儿机制有时候也会被恶劣人利用，这就是所谓的漏洞。

啥是跨域材料共享漏洞？

跨域材料共享漏洞是由于浏览器的实现机制弄得的。它的本质是浏览器允许网页上的JavaScript代码向跨域服务器发送HTTP求，从而获取数据。但由此也带来了平安凶险。

浏览器的同源策略禁止不同源网页间的 cookie、 localStorage 和 IndexDB 等数据相互访问，而通过这些个方式Neng够获取其他网页 valuable 的信息，Neng少许些打者对网页的打，别让一些不少许不了的材料泄露。

怎么检测CORS是不是存在漏洞？

验证CORS是不是存在漏洞的方法有hen许多， 其中较常用的几种如下：

Hello, World!

浏览器开发者工具

通过开发者工具Neng方便地查kanHTTP求和响应，并进行修改和添加。比方说 Neng用Chrome的开发者工具，选择Network标签页，找到发送求的地址，查kan响应报文，Ru果 Access-Control-Allow-Origin 是 *，表示该站点存在 CORS 漏洞。

Access-Control-Allow-Origin: http://www.xyz.com
Access-Control-Allow-Methods: POST, GET
Access-Control-Allow-Credentials: true
Access-Control-Allow-Headers: Content-Type, *

用Token传递数据

用Token传递数据是跨域访问的一种方案， Token是用户的身份令牌，Neng直接翻kan该身份令牌从而克服跨站求打。

POST /login HTTP/Host: abc.com
User-Agent: Mozilla/
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Content-Length: 31
Origin: http://www.xyz.com
Connection: close
name=admin&password=

自建跨域材料共享测试网站

Neng自建一个测试网站，测试跨域求有没有成功。比方说 我们自建的跨域材料共享测试网站是http://www.cors-test.com/，其页面上为一个JavaScript链接，Ru果该域名允许跨域访问，即可正常打开JavaScript页面。

CORS通过在跨域求时加入origin头， 在服务器端进行判别，只有赞成情况下才Neng发生跨域求，避免了一些跨域危害。一边， 设置 Access-Control-Allow-Origin 的时候千万不Neng设置为 *，这玩意儿时候服务器允许全部站点跨域求，这将弄得严沉的平安问题。

CORS求分为两类：轻巧松求和非轻巧松求。

怎么修优良跨域材料共享漏洞？

跨域材料共享漏洞的修优良方法如下：

轻巧松求需一边满足以下四个条件：

1. 求方法是GET、HEAD或POST。
2. HTTP头部只包含轻巧松的字段，如Accept、Accept-Language等。
3. POST求的内容类型是application/x-www-form-urlencoded或者multipart/form-data。
4. 求中没有自定义的求头。

CORS流程如下：

1. 客户端发起求。
2. 服务器端检查求的origin头部。
3. Ru果服务器赞成求，则返回Access-Control-Allow-Origin头部。
4. 客户端接收到响应后检查Access-Control-Allow-Origin头部。
5. Ru果Access-Control-Allow-Origin头部包含求的origin，则求成功。

Neng通过在响应头字段里设置 Access-Control-Allow-Origin， 来令指定来源访问该材料，指定来源后将禁止其他来源对材料的访问，Neng避免跨站求打。比方说 若网站http://www.abc.com允许http://www.xyz.com和http://www.klm.com进行跨域材料求，则在www.abc.com的响应头中应许多些如下内容：

Access-Control-Allow-Origin: http://www.xyz.com, http://www.klm.com

用BurpsuiteNeng抓取求，然后进行修改，模拟跨域求。Ru果跨域材料共享漏洞存在我们就Neng得到源站的信息和材料。

优良了今天的分享就到这里啦！希望巨大家Neng通过这篇文章，了解到跨域材料共享漏洞的相关知识，并学会怎么护着自己的网站不被打。拜拜～