本地主机

文章深入分析了加密货币交易所中因OAuth和CORS配置不当导致的账户接管漏洞。作者详细介绍了Google OAuth的GSI新流程和传统流程，以及其在Google Cloud Console中的配置差异。重点展示了如何利用本地主机回环地址（localhost）在移动应用中窃取OAuthToken，以及利用CORS配置中的HTTP协议漏洞和浏览器差异进行中间人攻击。文章提供了具体利用代码和修复建议，如禁止生产环境使用localhost、移除HTTP源的CORS配置、启用HSTS等。