نوشته‌شده در

وب سایت ها – دریافت سردرگمی که این پاسخ نشان دهنده آسیب پذیری CORS

 HTTP / 1.1 200 OK
نوع محتوا: application / json
محتوای طول: 12
اتصال: نزدیک است
تاریخ: Tue، 25 Sep 2018 12:59:56 GMT
x-amzn-RequestId: xxxxxxxxxxx
Access-Control-Allow-Origin: *
Access-Control-Allow-Headers: Content-Type، Authorization، Accept، X-Amz-
تاریخ، X-Api-Key، X-Amz-Security Token، x-client-type، x-client-version، x-
ناشناس شناسه
x-amz-apigw-id: xxxxxx
X-Amzn-Trace-Id: Root = xxxxxxxxx؛ Sampled = 0
X-Cache: خانم از روی ابر
از طریق: 1.1 xxxxxxxxxxxxxx
X-Amz-Cf-Id: xxxxxxxxxxxxxx

{"ok": true}

اشتباه می گیرم که این پاسخ آسیب پذیری CORS را نشان می دهد.

هنگامی که درخواست را ارسال می کنم، Origin: evil.com را تغییر دادم و سپس پاسخ فوق را تغییر دادم.

آیا کسی می تواند به من بگوید که آیا این پاسخ آسیب پذیری CORS را نشان می دهد؟

نوشته‌شده در

درخواست HTTP متهورانه به سرور nginx در سرور وارد شوید، آن چیست؟

من سرور nginx را اجرا می کنم که نمونه ای از سرور express / nodejs را اجرا می کند.

من از طریق سیاهههای مربوط به دیدن آنچه درخواست شده بود، و من متوجه چند تلاش طبیعی برای معایب رایج در چیزهایی مانند مطبوعات مطبوعات، اما آنچه من مربوط به این است: 

 66.249.79.129 - [17/Aug/2018:02:54:32 +0000] "GET / HTTP / 1.1" 200 209 "-" "موزیلا / 5.0 (سازگار؛ Googlebot / 2.1؛ + http: //www.google.com/bot.html)"
66.249.79.158 - [17/Aug/2018:02:54:36 +0000] "GET /stylesheets/style.css HTTP / 1.1" 200 111 "https://www.fullstackking.com/" "موزیلا / 5.0 AppleWebKit / 537.36 (KHTML، مانند Gecko؛ سازگار؛ Googlebot /2.1؛ + http: //www.google.com/bot.html) Safari / 537.36 "
108.178.16.154 - - [17/Aug/2018:03:17:27 +0000] " x09  x00  x8B  x00  xFE  x00  xFC  x00  xD9  x00  xD9  x00  xF3  x00z  x00j  x00  x17  x00  xFB  x00  x8B  x00  x8E  x00  xF3  x00  xF3  x00  xFE  x00  xEC  x00j  x00  xA7  x00  x8E  x00  x8B  x00H  x00  xEC  x00  xFB  x00z  x00H  x00  x8E  x00  xEC  x00  x8E  x00  xFB  x00  xF3  x00  xF3  x00  x8B  x00  xF3  x00  x8B  x00  xEC  x00  xC5  x00  xFE  x00  xA7  x00  xA7  x00  x09  x00  x09  x00  x09  x00  xA7  x00  xFE  x00j  x00  xC5  x00  xD9  x00  xFB  x00  xB0  x00  x8B  x00j  x00  xEC  x00  x17  x00  xFC  x00j  x00  x09  x00H  x00  xFC  x00  xB0  x00j  x00  x8E  x00  xF3  x00  x8E  x00  xA7  x00  xEC  x00  xFC  x00z  x00  x09  x00  xD9  x00  xF3  x00  xFB  x00  xB0  x00  x8B  x00  xEC  x00  x8E  x00  x17  x00  xD9  x00  xC5  x00  x8B  x00  x8B  x00  xFB  x00  xB0  x00  xF3  x00  x8B  x00  x8E  x00  xD9  x00z  x00H  x00  xFB  x00  xFE  x00  x17  x00  xC5  x00  x8E  x00z  x00  xB0  x00  xA7  x00  xA7  x00  xFB  x00  xB0  x00  x8E  x00  xC5  x00  xB0  x00H  x00  x17  x00  xC5  x00  x8B  x00j  x00  x8E  x00  xEC  x00  xF3  x00  xFE  x00  xD9  x00  xF3  x00  xA7  x00j  x00  xEC  x00  xA7  x00  xB0  x00  x17  x00  xFC  x00H  x00H  x00  x09  x00  x09  x00  x09  x00H  x00  x8E  x00  xCE  x00 "400 182" - "" - "

من شامل دو اول برای نشان دادن درخواست های معمولی بود، اما آخرین درخواست از یک IP در ایالات متحده است که دارای رتبه 100٪ سوء استفاده در این وب سایت است:

https: //www.abuseipdb .com / check / 108.178.16.154

سعی کنید با آن سری از hex چه کار کنید؟

نوشته‌شده در

هرزنامه – چگونه این ایمیل به یک گیرنده جعلی رسید؟

هنگامی که ایمیل از طریق SMTP ارسال می شود، دو نوع جداگانه وجود دارد این نوع اطلاعات می رود، پاکت (چیزهایی که با دستورات SMTP تنظیم شده اند) و هدر (اولین بلوک متن زیر فرمان SMTP Data، پایان دادن به یک خط خالی). بنابراین، برای مثال، در اینجا یک معامله SMTP است که پاکت با Headers مخالف است. این پیام برای هر پاکت تحویل داده می شود، اما گیرنده 19459003 سربرگ ها را می بیند . 

 پست الکترونیکی از: 
250 2.1.0 خوب
rcpt به: 
250 2.1.5 خوب
داده ها
354 پایان داده ها با . 
از: "فروشگاه اپل" 
به: [email protected]
موضوع: ما فقط خرید خود را دریافت کردیم ...

صندوق پستی اینجا می رود
.
250 2.0.0 Ok: صف به عنوان C5E251FFE2
ترک
221 2.0.0 بیا
اتصال توسط میزبان خارجی بسته شده.

گیرنده جعلی در سربرگ "To:" خط می رود، اما ایمیل با توجه به مقدار تعیین شده در فرمان SMTP "RCPT TO" تحویل می شود. در حقیقت، گیرنده می بیند سرصفحه که مهاجم می خواست آنها را ببیند:

دیدگاه مشتری از جعلی ایمیل

اکنون، برخی از محافظت در برابر این وجود دارد. اگر به مشتری پست الکترونیکی خود که می خواهید هدر پست های کامل را ببینید، می توانید توجه داشته باشید که سرور پست یک سرصفحه چندگانه را به داستان واقعی ارسال می کند: 

 از [email protected] Fri Jul 27 14:45:21 2018
بازگشت مسیر: 
X-Original-To: [email protected]
تحویل به: [email protected]

اما، البته، مشتریان ایمیل همیشه این سطح جزئیات را به طور پیش فرض مخفی می کنند و هدر تفسیر درست می تواند دشوار باشد. کلید به خاطر سپردن این است که آنها توسط سرورها به صورت همزمان اجرا می شوند، بنابراین آنهایی که بالای سرور قرار می گیرند؛ اگر "Return-Path" را در پایین هدرها مشاهده کنید، احتمالا توسط مهاجم به شما سوءاستفاده می شود و شما را به اشتباه هدایت می کند … از آنجا که پیام اصلی 'data' حاوی هدرهایی است که توسط فرستنده ارسال شده است، آنها قبل از اینکه سرورها از پیش آماده شوند، می توانند هر آنچه را که می خواهند در آنجا بگذارند.

نوشته‌شده در

برنامه وب – آسیب ETag نشتی

سربرگ ETag برای ذخیره موثر منابع سرور توسط مشتری استفاده می شود. سرور یک سرصفحه ETag را در پاسخ HTTP به برخی رشته ارسال می کند و مشتری محتوای محتوای پاسخ را مخدوش می کند و رشته ای که در سربرگ ETag با آن قرار گرفته است. اگر مشتری بخواهد دوباره به همان منبع دسترسی پیدا کند، رشته داده شده را در برخی از If-None-Match در درخواست HTTP ارسال می کند و سرور تنها محتوای کامل را در صورت تغییر منبع و بازگشت در غیر این صورت به مشتری می گویند که محتوای ذخیره شده را می توان استفاده کرد. برای اطلاعات بیشتر به ویکیپدیا مراجعه کنید

این بدان معنی است که هر مشتری می تواند از یک سرور از جمله ETag دریافت کند، یعنی مقدار هدر رازدار نیست. بنابراین بر خلاف سوال شما، نشت این هدر به خودی خود مسئله نیست.

مشکل این است که اگر مقدار هدر (یعنی رشته) اطلاعاتی در مورد سرور ارائه می دهد که باید مخفی باشد. اغلب ارزش سرصفحه فقط یک محتوا بر روی محتویات منابع است که در همه مشکلی نیست. اما برای مثال سرور وب آپاچی می تواند ETag بر روی شماره یونیت، آخرین زمان اصلاح و / یا اندازه ی فایل را پایه گذاری کند. با استفاده از این اطلاعات متا، منحصر به فرد ETag می تواند بسیار سریعتر نسبت به محاسبه هش محتوا ایجاد شود. تنها حداقل حداقل مقدار inode اطلاعات داخلی به سرور محسوب می شود و نباید در معرض مشتری قرار گیرد. در حالی که در حملات قابل استفاده نمی باشد، به طور مستقیم می توان از تعداد زیادی از داده های inode برای به دست آوردن اطلاعات به عنوان مثال در مورد سیستم فایل پایه استفاده کرد که ممکن است در حملات بیشتر در برابر سرور کمک کند.

این بدان معنی است که تعداد inode نباید از سربرگ ETag قابل استخراج باشد زیرا باید مخفی باشد. این با آپاچی 1.3.27 (مدتها پیش) ثابت شده است، یعنی عدد inode هنوز هم برای محاسبه ETag استفاده می شود اما به طریقی که نمی توان از مقدار ETag استخراج کرد.

ویرایش: به عنوان مثال Rapid7 این را با شدت چهار می بینید.

نمره CVSS از چندین قسمت محاسبه می شود. جزئیات مربوط به این مشکل خاص را می توان در اینجا مشاهده کرد، اما اساسا به این می پردازد که استفاده بی اهمیت است، می تواند در شبکه انجام شود، نیازی به احراز هویت و ارائه اطلاعات داخلی در مورد سرور ندارد.

نوشته‌شده در

سیاست امنیتی محتوا – CSP header default-src: data:

این اجازه می دهد که داده های URI مانند: 

 data: text / html؛ charset = utf-8؛ base64، PGgzPkhpPC9oMz4 =

به عنوان منابع مورد استفاده قرار می گیرد.

URI های داده ها می توانند حاوی هر محتوایی باشند، آنها به طور گسترده ای مورد استفاده قرار می گیرند، زیرا می توانند مقدار URL هایی را که هنگام بارگذاری سایت درخواست می شوند، کاهش دهد.

آسیب تزریق و می تواند از آن اجتناب کند، زیرا هر کسی که می تواند به صفحه تزریق کند، هر URI داده ای را که حاوی هر گونه محتوایی است که می خواهند استفاده می کند.

لازم نیست برای Chrome و Firefox استفاده شود، اما همانطور که CanIUse نشان می دهد، مرورگرهایی هستند که هنوز به سرصفحه های خاص نیاز دارند.