常见的Web漏洞——CORS
渗透做了多年的朋友都知道，大洞小洞都是漏洞。因此也学习、沉淀一下以前没重视的漏洞。
简介
CORS（Cross-Origin Resource Sharing，跨源资源共享）是一种由Web浏览器实现的安全策略，用于控制一个Web页面（服务端）是否能够访问来自不同源（域名、协议或端口）的资源。这是为了防止恶意网站通过 AJAX 请求访问另一个网站的敏感数据。
CORS漏洞是指服务器在处理跨源HTTP请求时未能正确实施安全策略，导致敏感数据或功能被未经授权的第三方访问。这种漏洞通常发生在Web应用中，它允许攻击者绕过浏览器的同源策略，从而访问或操作另一个域的资源。
跨域访问的一些场景:
- 单页面应用（SPA）与后端API
场景：现代Web应用经常采用单页面应用架构，前端JavaScript框架（如React、Angular、Vue.js）与后端API（可能部署在不同的域名上）需要进行通信。
CORS作用：允许前端应用从浏览器安全地发起跨域请求到后端API，并接收响应。 - 第三方服务集成
场景：Web应用可能需要集成第三方服务（如地图服务、社交媒体登录、支付网关等）。
CORS作用：确保第三方服务的API可以安全地从Web应用的域被访问。 - 内容分发网络（CDN）
场景：为了提高加载速度和全球访问性，静态资源（如JavaScript库、CSS文件、图片等）可能被部署在CDN上。
CORS作用：允许Web应用从CDN跨域加载静态资源。 - Web组件和Web部件
场景：开发者可能在不同的域上创建和使用可重用的Web组件。
CORS作用：确保这些组件可以跨域访问和集成。 - 跨域字体加载
场景：Web设计师可能需要从不同的源加载自定义字体。
COR