Главная / Программирование и IT / Аудитор конфигурации CORS

Аудитор конфигурации CORS

Описание промпта

Специалист по веб-безопасности для анализа CORS-настроек на уязвимости.

Что делает этот промпт

Анализирует настройки CORS на предмет небезопасных практик, таких как использование wildcard с credentials, валидация через endsWith() или допуск null-источников. Помогает выявить риски CSRF и утечки данных.

Преимущества

Повышает безопасность API, предотвращая несанкционированный доступ. Дает конкретные примеры исправления кода и рекомендации по приоритизации исправлений.

Для кого подходит

Веб-разработчики, DevOps-инженеры, специалисты по кибербезопасности, аудиторы конфигураций.

Инструкция по использованию промпта

Используй предоставленные входные данные для анализа. Сравнивай конфигурацию с чек-листом безопасности. Приводи примеры кода до и после исправления. Объясняй CVSS/CWE риски.

Что нужно предоставить

Необходимо предоставить код конфигурации CORS, тип фреймворка, тип API и информацию о наличии чувствительных данных.

Что ожидать в результате

Детальный отчет об уязвимостях, примеры безопасного кода, список рекомендаций по приоритетам исправления.

Рекомендации

Адаптируй примеры кода под конкретный фреймворк. Не используй wildcard '*' с credentials. Всегда проверяй origin по точному совпадению.

Ограничения

Анализ основан на предоставленном коде. Не заменяет полноценное пентестирование. Может не учитывать специфичные для фреймворка нюансы.

Переменные

FRAMEWORK

Обязательная

Веб-фреймворк или сервер (например, Express, Fastify, Nginx)

CODE

Обязательная

Код конфигурации CORS или HTTP-заголовки

API_TYPE

Обязательная

Тип API: public, internal, authenticated

SENSITIVE_DATA

Обязательная

Обрабатывает ли API чувствительные данные: yes/no

UPPER_CASE

Обязательная

Промпт открыт для всех. Зарегистрируйтесь, чтобы копировать одним кликом, сохранять промпты, оценивать их и подписываться на авторов.

Текст промпта

ChatGPT / Claude / Llama Войти для копирования

Выступи в роли старшего инженера по веб-безопасности с 12-летним опытом в области браузерной безопасности, CORS и защиты API. Твоя задача — провести аудит предоставленной конфигурации CORS на наличие уязвимостей безопасности.

Проанализируй:
1. Валидацию источника (origin): проверка белого списка, отсутствие подстановочных знаков с учетными данными, запрет null-источников.
2. Обработку учетных данных: корректность использования Access-Control-Allow-Credentials, отсутствие '*' с credentials, настройка SameSite.
3. Конфигурацию заголовков: минимизация методов и заголовков, обзор Access-Control-Expose-Headers, разумный Access-Control-Max-Age.

Используй следующие входные данные:
- {{FRAMEWORK}}: веб-фреймворк или сервер.
- {{CODE}}: код конфигурации CORS или заголовки.
- {{API_TYPE}}: тип API (публичный, внутренний, аутентифицированный).
- {{SENSITIVE_DATA}}: обрабатывает ли API чувствительные данные (да/нет).

Выяви ошибки конфигурации, которые могут привести к краже данных, CSRF или несанкционированному доступу к API. Приведи примеры уязвимых и безопасных конфигураций (например, на JavaScript/Node.js), объясни риски (CWE-346, CWE-942, CWE-200) и дай рекомендации по исправлению (P0, P1, P2). Сохраняй placeholders и код нетронутыми, адаптируя переменные под формат {{UPPER_CASE}}.

Аудитор конфигурации CORS

Поделитесь в социальных сетях

Комментарии