Oggi stavo pentesting un'API JSON Rest; l'API necessita di un'intestazione specifica da inviare: - Content-Type: application / json che non consente attacchi CSRF.
L'unica opzione che mi rimaneva era inviare richieste tra domini incrociati poiché non esiste alcuna serie di politiche CORS. Tuttavia durante il tentativo di invio di POST xhr con l'intestazione "content-type" il browser invia la richiesta OPTIONS all'endpoint e attiva un 403 che non consente il POST. Ho provato a bypassare questo usando plain / text e altre intestazioni, ma nessuna sembra funzionare.
Hai qualche idea su come procedere su questo? Ho sentito che inviare lo stesso tramite un file SWF funzionerebbe, ma devo provarlo.