Một công cụ kiểm tra bảo mật quét các điểm cuối web để tìm các lỗi cấu hình CORS nguy hiểm và gán xếp hạng bảo mật từ A đến F.
Cài đặt & Tải xuống
1. ClawHub CLI
Cách nhanh nhất để cài đặt kỹ năng trực tiếp từ thư viện.
npx clawhub@latest install cors-scanner
2. Cài đặt Thủ công
Sao chép thư mục kỹ năng vào một trong những vị trí sau
~/.openclaw/skills/ <project>/skills/ Ưu tiên: Không gian làm việc > Cục bộ > Gói sẵn
3. Cài đặt Prompt
Sao chép prompt này vào OpenClaw để tự động cài đặt.
Giúp tôi cài đặt cors-scanner bằng Clawhub. Nếu Clawhub chưa
Bạn muốn tải xuống?
Nhận các tệp kỹ năng gốc dưới dạng lưu trữ ZIP.
Trình quét lỗi cấu hình CORS là gì?
Trình quét lỗi cấu hình CORS là một công cụ bảo mật nhẹ, dựa trên Python, được thiết kế để xác định các lỗ hổng trong cách máy chủ web xử lý Cross-Origin Resource Sharing. Bằng cách sử dụng Openclaw Skills, các nhà phát triển và nghiên cứu bảo mật có thể nhanh chóng phát hiện các lỗi phổ biến như phản chiếu nguồn (origin reflection), chính sách ký tự đại diện (wildcard) và chấp nhận nguồn null có thể dẫn đến truy cập dữ liệu đa nguồn trái phép. Skill này cung cấp đánh giá bảo mật toàn diện bằng cách thực hiện 13 kiểm tra riêng biệt trên bất kỳ URL nào được cung cấp.
Nó giúp duy trì trạng thái bảo mật mạnh mẽ bằng cách xác định các tiêu đề cấu hình sai có thể để lộ các mã thông báo xác thực nhạy cảm hoặc dữ liệu phiên cho các miền bên thứ ba độc hại. Công cụ này đặc biệt có giá trị đối với các nhóm thực hành DevSecOps, vì nó cho phép xác định nhanh chóng các lỗi cấu hình có thể cho phép những kẻ tấn công đánh cắp dữ liệu người dùng nhạy cảm qua các ranh giới nguồn.
Trường hợp sử dụng Trình quét lỗi cấu hình CORS
- Kiểm tra bảo mật tự động các REST APIs và điểm cuối web để đảm bảo tuân thủ.
- Xác định các lỗ hổng phản chiếu nguồn vượt qua các biện pháp bảo vệ trình duyệt tiêu chuẩn.
- Đánh giá tính bảo mật của các chính sách truy cập mạng riêng nội bộ để ngăn chặn các cuộc tấn công kiểu SSRF.
- Thực hiện quét hàng loạt trên nhiều microservices trong môi trường đám mây.
- Tích hợp các cổng bảo mật CORS vào đường ống CI/CD để ngăn chặn việc triển khai các cấu hình không an toàn.
Cách thức hoạt động của Trình quét lỗi cấu hình CORS
- Người dùng cung cấp một hoặc nhiều URL mục tiêu cho trình quét thông qua giao diện dòng lệnh.
- Skill bắt đầu một loạt các yêu cầu HTTP mô phỏng các kịch bản đa nguồn khác nhau như phản chiếu nguồn, nguồn null và tin cậy HTTP so với HTTPS.
- Công cụ phân tích các tiêu đề phản hồi—cụ thể là Access-Control-Allow-Origin (ACAO) và Access-Control-Allow-Credentials (ACAC)—dựa trên 13 quy tắc bảo mật.
- Các phát hiện được tính trọng số theo mức độ nghiêm trọng, từ Critical đến Info.
- Xếp hạng bảo mật cuối cùng từ A đến F được tính toán dựa trên mức độ rủi ro tổng hợp của các vấn đề được phát hiện.
- Một báo cáo chi tiết được tạo theo định dạng yêu cầu, cung cấp các thông tin chi tiết có thể thực hiện để khắc phục.
Cài đặt Trình quét lỗi cấu hình CORS
Để sử dụng công cụ Openclaw Skills này, hãy đảm bảo bạn đã cài đặt Python 3.6 trở lên trên hệ thống của mình. Trình quét này chỉ dựa vào thư viện tiêu chuẩn của Python, không yêu cầu các phụ thuộc bên ngoài.
# Chạy quét trên một URL mục tiêu duy nhất
python3 scripts/cors_scan.py https://api.example.com
# Chạy quét hàng loạt trên nhiều điểm cuối
python3 scripts/cors_scan.py https://api1.com https://api2.com
Lược đồ dữ liệu & Hệ thống phân loại của Trình quét lỗi cấu hình CORS
Trình quét tổ chức đầu ra của nó thành các phát hiện có cấu trúc và xếp hạng bảo mật để tạo thuận lợi cho việc báo cáo rõ ràng. Dữ liệu có thể được xuất theo các định dạng sau:
| Tính năng | Chi tiết |
|---|---|
| Định dạng đầu ra | Hỗ trợ báo cáo Text (mặc định), JSON và Markdown. |
| Thang điểm xếp hạng | A (Sạch) đến F (Phát hiện lỗi cấu hình nghiêm trọng). |
| Mức độ nghiêm trọng | Các danh mục Critical, High, Medium, Low và Info. |
| Phân loại | Xác định các vấn đề cụ thể như Origin Reflection, Wildcard Methods và Private Network Access. |
| Mã thoát | Trả về 0 nếu đạt và 1 nếu thất bại trong môi trường CI/CD. |
Tính năng Nâng cao của Trình quét lỗi cấu hình CORS
- Khả năng quét hàng loạt để xử lý nhiều URL trong một lần thực thi cho các cuộc kiểm tra quy mô lớn.
- Hỗ trợ tích hợp CI/CD với các mã thoát có thể cấu hình dựa trên xếp hạng bảo mật tối thiểu có thể chấp nhận (ví dụ: --min-grade C).
- Nhiều định dạng đầu ra bao gồm JSON có thể đọc được bằng máy để báo cáo tự động và đưa vào cơ sở dữ liệu.
- Phát hiện chuyên dụng cho các lỗ hổng Private Network Access (PNA), bảo vệ tài nguyên nội bộ.
- Hỗ trợ phân tích yêu cầu preflight bao gồm Access-Control-Max-Age và xác thực tiêu đề tùy chỉnh.
SKILL.md
Đang tải
Các kỹ năng Openclaw liên quan
Prettier Config Validator
Một tiện ích chẩn đoán mạnh mẽ để xác thực và kiểm tra các tệp cấu hình Prettier trên nhiều định dạng nhằm đảm bảo tính nhất quán của dự án.
KAMIS CLI: Dữ liệu giá nông sản Hàn Quốc
Một công cụ CLI chuyên dụng để lấy dữ liệu giá bán buôn và bán lẻ hàng ngày cho các sản phẩm nông sản, chăn nuôi và thủy sản Hàn Quốc thông qua KAMIS OpenAPI chính thức.
Hồi tưởng Nhiệm vụ
Một khung cấu trúc cho các AI agent để đánh giá hiệu suất của chúng, trích xuất các mẫu có thể tái sử dụng và cải thiện việc thực hiện nhiệm vụ trong tương lai.
Bộ ưu tiên lỗ hổng
Một công cụ ưu tiên rủi ro hiệu suất cao giúp lọc nhiễu từ các trình quét bằng cách sử dụng thông tin khai thác thực tế và ngữ cảnh tài sản.
Helm Chart Linter
Một công cụ linter và xác thực thuần Python được thiết kế để đảm bảo các Helm charts tuân thủ các thực hành tốt nhất về bảo mật, cấu trúc và phụ thuộc.
Kiểm tra sức khỏe phụ thuộc
Một công cụ kiểm toán đa hệ sinh thái để xác định các gói lỗi thời, có lỗ hổng và không được sử dụng trong khi đảm bảo tuân thủ giấy phép.
Đặc sắc*
