实验室：基本起源反射的CORS脆弱性
学徒
该网站有不beplay体育能用吗安全科尔斯配置信任所有起源。
要解决实验室，请制作一些使用CORS检索管理员的API键并将代码上传到利用服务器的JavaScript。当您成功提交管理员的API密钥时，实验室将解决。
您可以使用以下凭据登录到自己的帐户：维纳：彼得
解决方案
- 检查截距是否关闭，然后使用浏览器登录并访问您的帐户页面。
- 查看历史记录并观察到您的密钥是通过AJAX请求检索到的
/帐户详细资料，响应包含访问控制 - 允许的信念标题建议它可能支持CORS。
将请求发送给Burp Repeater，并与添加的标头重新提交：
来源：https：//example.com- 观察到原点反映在
访问控制 - 允许原素标题。
在浏览器中，转到Exploit服务器并输入以下HTML，更换$ URL使用您独特的实验室网址：
