Originヘッダーをスプーフィングできますか？
質問者：Abdelkamal Glasbrenner |最終更新日：2020年3月1日
カテゴリ：テクノロジーおよびコンピューティングブラウザ
ブラウザはOriginヘッダーの設定を制御しており、ユーザーはこの値を上書きできません。したがって、ブラウザからスプーフィングされたOriginヘッダーは表示されません。 CORSのAccess-Control-Allow- Originヘッダーは、クロスオリジンリクエストの実行を許可するオリジンのみを指定します。これ以上何も頼らないでください。
さらに、ホストヘッダーをスプーフィングすることはできますか？これにより、ドメインベースの仮想ホスティングが可能になり、複数のドメインのWebサイトが単一のWebサーバーでホストされます。 HTTPリクエストをスプーフィングするのは簡単で、 Hostヘッダーも例外ではありません。場合によっては、なりすましのHostヘッダーを使用して、このヘッダーのコンテンツに基づいてトラフィックをブロックするフィルターをバイパスできます。
さらに、オリジンヘッダーとは何ですか？ Originリクエストヘッダーは、フェッチの発信元を示します。パス情報は含まれていませんが、サーバー名のみが含まれています。 CORSリクエストとPOSTリクエストで送信されます。これはRefererヘッダーに似ていますが、このヘッダーとは異なり、パス全体を開示していません。
これに関して、Originヘッダーを設定できますか？
2つの答え。要するに：あなたはできません。 MDNで説明されているように; Originは「禁止」ヘッダーです。つまり、プログラムで変更することはできません。 CORSリクエストを許可するようにWebサーバーを設定する必要があります。
アクセス制御でOriginヘッダーを許可するように設定するにはどうすればよいですか？
IIS6の場合
- インターネットインフォメーションサービス（IIS）マネージャーを開きます。
- CORSを有効にするサイトを右クリックして、[プロパティ]に移動します。
- [HTTPヘッダー]タブに移動します。
- [カスタムHTTPヘッダー]セクションで、[追加]をクリックします。
- ヘッダー名としてAccess-Control-Allow-Originと入力します。
- ヘッダー値として*を入力します。
- [OK]を2回クリックします。
29関連する質問の回答が見つかりました
httpホストヘッダーは必要ですか？
セキュリティで保護されていない接続では、サーバー名表示がまったくないため、ホストヘッダーは引き続き有効です（必要です）。ホストヘッダーフィールドは、すべてのHTTP / 1.1要求メッセージで送信する必要があります。
有効なホストヘッダーとは何ですか？
HTTP 1.1で導入されたホストヘッダーは、IPアドレスとポート番号に加えて、Webドメイン、またはMicrosoftが呼んでいるアプリケーションサーバーを一意に識別するために使用できる3番目の情報です。例えば、URLのホストヘッダー名は、http：//www.ideva.comはwww.ideva.comです。
Webキャッシュポイズニングとは何ですか？
DNSポイズニングおよびDNSキャッシュスプーフィングとも呼ばれるキャッシュポイズニングでは、有効なインターネットアドレスを別の不正なアドレスに置き換えることにより、インターネットサーバーのドメインネームシステムテーブルを破壊します。
ホストヘッダーインジェクション攻撃とは何ですか？
ホストヘッダー攻撃。最も一般的には、多くのWebサーバーは、同じIPアドレスで複数のWebサイトまたはWebアプリケーションをホストするように構成されています。これが、ホストヘッダーインジェクションが発生する理由です。 Hostヘッダーは、接近するHTTPリクエストを処理するサイトまたはWebアプリケーションを決定します。
IISのホストヘッダーとは何ですか？
ホストヘッダーを使用して複数のIISWebサイトをホストする。ホストヘッダーを使用して、単一のIPアドレスから複数のドメイン名をホストできます。ホストヘッダーを使用すると、 IISは、ブラウザーがサーバーに送信するHTTPヘッダーからホスト名を取得できます。
ホスト攻撃とは何ですか？
特定のシステムまたはホストを標的とした攻撃。例：ラップトップ、デスクトップ、スマートフォンなど。ホストベースの攻撃の57％はウイルス、21％はトロイの木馬、2％はワームなどです。
Originヘッダーが送信されるのはいつですか？
Originヘッダー
オリジンがXMLHttpRequestの作成元のページと一致しない場合に追加されますが、同じオリジンのリクエストで送信される場合もあります。または、ブラウザがリクエストのターゲットの発信元が現在の発信元と異なることを「認識」したときに自動的に追加されますか？ Corsエラーを取り除くにはどうすればよいですか？
この問題を解決する方法は次のとおりです。
- OPTIONSメソッドのサポートを追加して、CORSプリフライトリクエストが有効になるようにします。
- ブラウザがリクエストの有効性を確認できるように、レスポンスにAccess-Control-Allow-Originヘッダーを追加します。
クロスドメインとは何ですか？
クロスドメインソリューション（CDS）は、2つ以上の異なるセキュリティドメイン間で情報に手動または自動でアクセスまたは転送する機能を提供する情報保証の手段です。
Corsが問題になるのはなぜですか？
なぜCORSが必要なのですか？ CORS標準が必要なのは、サーバーが資産にアクセスできるユーザーだけでなく、資産へのアクセス方法も指定できるためです。クロスオリジンリクエストは、標準のHTTPリクエストメソッドを使用して行われます。
Web APIでCORSを有効にするにはどうすればよいですか？
WebAPIでCORSを有効にする方法
- Web APIでCORSを有効にする方法がわからない場合は、Microsoftをインストールする必要があります。
- Visual Studioで、[ツール]メニューから[ライブラリパッケージマネージャー]を選択し、[パッケージマネージャーコンソール]を選択します。
- ソリューションエクスプローラーで、WebApiプロジェクトを展開します。
- 次に、属性[EnableCors]を目的のコントローラーに追加します。
CORSを有効にするにはどうすればよいですか？
Microsoft IIS6をCORS対応にするには、次の手順を実行します。
- インターネットインフォメーションサービス（IIS）マネージャーを開きます。
- CORSを有効にするサイトを右クリックして、[プロパティ]に移動します。
- [HTTPヘッダー]タブに移動します。
- [カスタムHTTPヘッダー]セクションで、[追加]をクリックします。
- ヘッダー名としてAccess-Control-Allow-Originと入力します。
アクセス制御でOriginヘッダーを許可するのは何ですか？
アクセス-制御-許可-オリジンはCORS（クロス-オリジンリソースシェアリング）ヘッダーです。サイトAがサイトBからコンテンツをフェッチしようとすると、サイトBはAccess - Control - Allow - Origin応答ヘッダーを送信して、このページのコンテンツが特定のオリジンにアクセス可能であることをブラウザーに通知できます。
CORSポリシーを確認するにはどうすればよいですか？
テスト-cors.org 。このページを使用して、 CORSリクエストをテストします。 CORSリクエストをリモートサーバーに送信する（ CORSがサポートされているかどうかをテストする）か、 CORSリクエストをテストサーバーに送信する（ CORSの特定の機能を調べる）ことができます。フィードバックを送信するか、ここでソースを参照してください：https：//github.com/monsur/ test --cors.org 。
HTTP応答ヘッダーを追加するにはどうすればよいですか？
カスタムHTTP応答ヘッダーを追加するWebサイトをクリックします。 Webサイトペインで、IISセクションのHTTP応答ヘッダーをダブルクリックします。アクションペインで、[追加]をクリックします。 [名前]ボックスに、カスタムHTTPヘッダー名を入力します。
オリジンURLとは何ですか？
起源は、必要に応じて、文書や画像のURLのアドレスの原点です。ドキュメントまたは画像がデータから生成された場合：HTTPリダイレクト（または他のプロトコルで同等のもの）の場所として返されたURLオリジンは、データにリダイレクトされたURLのオリジンです： URL 。
CORS構成とは何ですか？
クロスオリジンリソースシェアリング（ CORS ）は、追加のHTTPヘッダーを使用して、あるオリジンで実行されているWebアプリケーションに、別のオリジンから選択したリソースへのアクセスを許可するようにブラウザーに指示するメカニズムです。 CORSメカニズムは、ブラウザとサーバー間の安全なクロスオリジンリクエストとデータ転送をサポートします。