未验证的重定向和转发

未验证的重定向和转发，是指系统在进行页面转发和重定向时该重定向或者转发的页面不是系统可信页面，并且重定向或转发前未经安全验证

检测方法：

在请求地址后面拼接恶意地址,如下图中的http://site.top/home为不可信任地址，如果能跳转，则有漏洞

http://xxx/login.jsp?redirectUrl=http://site.top/home

解决方案：

1.不直接从输入中获URL；

2.检查重定向或跳转的目标URL是否为本系统URL；

3.对输入进行过滤。