开发安全之：Open Redirect

Overview

将未验证的数据传递给 HTTP 重定向函数header("Location:".$redirect_uri);。如果允许未验证的输入控制重定向机制所使用的 URL，可能会有利于攻击者发动钓鱼攻击。

Details

通过重定向，Web 应用程序能够引导用户访问同一应用程序内的不同网页或访问外部站点。应用程序利用重定向来帮助进行站点导航，有时还跟踪用户退出站点的方式。当 Web 应用程序将客户端重定向到攻击者可以控制的任意 URL 时，就会发生 Open redirect 漏洞： 攻击者可能利用 Open Redirect 漏洞诱骗用户访问某个可信赖的站点的 URL，然后将他们重定向到恶意站点。攻击者通过对 URL 进行编码，使最终用户很难注意到重定向的恶意目标，即使将这一目标作为 URL 参数传递给可信赖的站点时也会发生这种情况。因此，Open Redirect 通常被作为网络钓鱼诈骗的一部分被滥用，攻击者通过这种方式来获取最终用户的敏感数据。 数据通过  header() 传送。

例 1：以下 PHP 代码会在用户单击链接时，指示用户浏览器打开从 dest 请求参数中解析的 URL。

<%

$strDest = $_GET["dest"];

header("Location: " . $strDest);

%>

如果受害者收到一封电子邮件，指示其打开“http://trusted.example.com/ecommerce/redirect.php?dest=www.wilyhacker.com”链接，该用户就有可能会单击该链接，因为他会以为该链接会转到可信赖的站点。然而，当受害者单击该链接时，Example 1 中的代码就会将浏览器重定向到“http://www.wilyhacker.com”。 很多用户都被告知，要始终监视通过电子邮件收到的 URL，以确保链接指向一个他们所熟知的可信赖站点。尽管如此，如果攻击者对目标 URL 进行 16 进制编码： "http://trusted.example.com/ecommerce/redirect.php?dest=%77%69%6C%79%68%61%63%6B%65%72%2E%63%6F%6D" 那么，即使再聪明的最终用户也可能会被欺骗，打开该链接。

Recommendations

不应当允许未验证的用户输入控制重定向机制中的目标 URL。而应采用间接方法：创建一份合法 URL 列表，用户可以指定其中的内容并且只能从中进行选择。利用这种方法，就绝不会直接使用用户提供的输入来指定要重定向到的 URL。

例 2：以下代码引用了一个通过有效 URL 传播的数组。用户单击的链接将通过与所需 URL 对应的数组索引来传递。
 

<%

$strDest = intval($_GET["dest"]);

if(($strDest >= 0) && ($strDest <= count ($strURLArray) - 1 ))

{

$strFinalURL = $strURLArray[strDest];

header("Location: " . $strFinalURL);

}

%>

但在某些情况下，这种方法并不可行，因为这样一份合法 URL 列表过于庞大、难以跟踪。这种情况下，有一种类似的方法也能限制用于重定向用户的域，这种方法至少可以防止攻击者向用户发送恶意的外部站点。