Acunetix zafiyeti nasıl gerçek bir şekilde test edilir?

Acunetix ile şu şekilde açıklar buldum(açık olduklarını sanıyorum).ve nasıl test edip kanıt olarak gönderebileceğimi bilmiyorum yardımcı olursanız sevinirim.

CORS origin validation failure

url: https://www.fidelity.com/life-events/
Access-Control-Allow-Origin:

https://evilwww.fidelity.com

Access-Control-Allow-Credentials: true
Suffix origins are accepted (www.example.com trusts evilexample.com)

b1kenbs.png bu şekilde

Cors bir güvenlik açığı değil, bir güvenlik özelliğidir.
Bu mekanizma bir domainden başka bir domaine veri aktarmak için kullanılır.

Örnek vermek gerekirse x,y,z adında 3 farklı domain olduğunu hayal et.
Örneğin x domaininden y domainine herhangi bir dosyayı aktarmak istiyorsun. Bu bir görsel,video,js,css vb. olabilir. Türü o kadar önemli değil.

x domaininde y domainini tanımlayıp cors ayarını buna göre yaparsan z domaini o dosyaya erişemez. Fakat cors ayarını herkese açık bir şekilde yapılandırırsan bütün domainler erişebilir.

Genellikle js yazan herkes bu hatayla karşılaşabiliyor.

Kafanda canlanması için gerçek bir örnek vereyim.
Instagramı baz alalım. Instagram'da paylaşılmış herhangi bir görüntüyü tarayıcından girip görüntüleyebilirsin. Örneğin siberatay'ın profil resmi gibi


Instagram'ın kendi domainlerine cors yetkisi olduğu için bunu doğrudan htmlde img tagı ile gömüp yayınlayabilirler. Örneğin:

Fakat kendi domainleri dışında bir domain bunu yapmaya çalıştığında Instagram o domaini tanımadığı için dosyaya erişimine izin vermez. Aşağıdaki gibi hata verir.


Yani kısacası cors yapılandırması olmayan bir sitedeki herhangi bir objeyi sadece kendi domaininde yayınlayabilirsin.

Senin attığın websitesinde de benzer bir şekilde cors yetkisi olmayan bir domainden veri çekmeye çalışıyor. Muhtemelen Acunetix sana bunu anlatmaya çalışıyordur. Aşağıdaki görüntüden görebilirsin.


Umarım yardımcı olmuştur.
İyi forumlar

Enistein' Alıntı:

Cors bir güvenlik açığı değil, bir güvenlik özelliğidir.
Bu mekanizma bir domainden başka bir domaine veri aktarmak için kullanılır.

Örnek vermek gerekirse x,y,z adında 3 farklı domain olduğunu hayal et.
Örneğin x domaininden y domainine herhangi bir dosyayı aktarmak istiyorsun. Bu bir görsel,video,js,css vb. olabilir. Türü o kadar önemli değil.

x domaininde y domainini tanımlayıp cors ayarını buna göre yaparsan z domaini o dosyaya erişemez. Fakat cors ayarını herkese açık bir şekilde yapılandırırsan bütün domainler erişebilir.

Genellikle js yazan herkes bu hatayla karşılaşabiliyor.

Kafanda canlanması için gerçek bir örnek vereyim.
Instagramı baz alalım. Instagram'da paylaşılmış herhangi bir görüntüyü tarayıcından girip görüntüleyebilirsin. Örneğin siberatay'ın profil resmi gibi

https://instagram.fsaw1-12.fna.fbcdn.net/v/t51.2885-19/298597525_613116660227485_3551152595268595797_n.jpg?stp=dst-jpg_s150x150&_nc_ht=instagram.fsaw1-12.fna.fbcdn.net&_nc_cat=101&_nc_ohc=qGFyeLGrdKkAX-cxllw&edm=ABmJApABAAAA&ccb=7-5&oh=00_AfBCvoUmRiuwWwo55H4y3PMTp8mM42vETPJBcBLvdVQBQQ&oe=63B20ADD&_nc_sid=6136e7

Instagram'ın kendi domainlerine cors yetkisi olduğu için bunu doğrudan htmlde img tagı ile gömüp yayınlayabilirler. Örneğin:

HTML:

<img alt="Image" src="https://instagram.fsaw1-12.fna.fbcdn.net/v/t51.2885-19/298597525_613116660227485_3551152595268595797_n.jpg?stp=dst-jpg_s150x150&_nc_ht=instagram.fsaw1-12.fna.fbcdn.net&_nc_cat=101&_nc_ohc=qGFyeLGrdKkAX-cxllw&edm=ABmJApABAAAA&ccb=7-5&oh=00_AfBCvoUmRiuwWwo55H4y3PMTp8mM42vETPJBcBLvdVQBQQ&oe=63B20ADD&_nc_sid=6136e7">

Fakat kendi domainleri dışında bir domain bunu yapmaya çalıştığında Instagram o domaini tanımadığı için dosyaya erişimine izin vermez. Aşağıdaki gibi hata verir.

Yani kısacası cors yapılandırması olmayan bir sitedeki herhangi bir objeyi sadece kendi domaininde yayınlayabilirsin.

Senin attığın websitesinde de benzer bir şekilde cors yetkisi olmayan bir domainden veri çekmeye çalışıyor. Muhtemelen Acunetix sana bunu anlatmaya çalışıyordur. Aşağıdaki görüntüden görebilirsin.

Umarım yardımcı olmuştur.
İyi forumlar

Genişletmek için tıkla ...

hocam gene efsane anlatmışınız elinize sağlık