Каковы последствия для безопасности неправильной настройки CORS в серверном приложении?

Риски безопасности CORS:

Чрезмерно разрешительное происхождение:

// DANGEROUS: Allows any origin
app.use(cors({
  origin: '*',
  credentials: true
}));

// VULNERABLE: Dynamic origin without validation
app.use(cors({
  origin: (origin, callback) => {
    callback(null, true); // Accepts any origin
  },
  credentials: true
}));

Конкретные проблемы безопасности:

• Кража данных: вредоносные сайты получают доступ к конфиденциальным данным API.
• CSRF-атаки: подделка межсайтовых запросов посредством чрезмерного разрешения CORS.
• Захват поддомена: можно использовать подстановочные поддомены.
• Конфигурация разработки в рабочей версии: настройки разработки оставлены включенными.
• Отраженный XSS: неправильная проверка происхождения, приводящая к XSS.

Правильная конфигурация CORS:

// Secure CORS configuration
const allowedOrigins = [
  '
  '
  '
];

app.use(cors({
  origin: function(origin, callback) {
    // Allow requests with no origin (mobile apps, Postman)
    if (!origin) return callback(null, true);
    
    if (allowedOrigins.includes(origin)) {
      callback(null, true);
    } else {
      callback(new Error('Not allowed by CORS'));
    }
  },
  credentials: true, // Only if needed
  methods: ['GET', 'POST', 'PUT', 'DELETE'],
  allowedHeaders: ['Content-Type', 'Authorization'],
  exposedHeaders: ['X-Total-Count'],
  maxAge: 86400 // Cache preflight for 24 hours
}));

// Environment-specific configuration
const corsOptions = {
  origin: process.env.NODE_ENV === 'production'
    ? ['
    : [' '
  credentials: process.env.NODE_ENV === 'production'
};

Сценарии атак:

• Вредоносный веб-сайт:

evil.com

делать запросы к

api.myapp.com

• Захват поддомена: контроль злоумышленника

old.myapp.com

с подстановочным знаком CORS

• Расширение браузера: вредоносные расширения, использующие свободный CORS.

Стратегии защиты:

• Динамическая проверка: реализация правильной логики проверки происхождения.
• Отключить учетные данные: Избегайте

credentials: true

кроме случаев крайней необходимости

• Регулярные проверки: регулярно проверяйте и обновляйте конфигурацию CORS.
• Разделение среды: различные конфигурации CORS для разработки/промежуточного/производственного использования.

Мониторинг и обнаружение:

• Unusual Traffic Patterns: Detect unexpected cross-origin traffic
• Security Headers: Implement additional security headers
• Content Security Policy: Use CSP to restrict resource loading

Итог

Ключевой вывод для интервью: каковы последствия для безопасности неправильной настройки CORS в серверном приложении?