十二、开放重定向漏洞

作者:Peter Yaworski

译者:飞龙

协议:CC BY-NC-SA 4.0

描述

根据 OWASP,开放重定向出现在应用接受参数并将用户重定向到该参数值,并且没有对该值进行任何校验的时候。

这个漏洞用于钓鱼攻击,便于让用户无意中浏览恶意站点,滥用给定站点的信任并将用户引导到另一个站点,恶意站点作为重定向目的地,可以将其准备成合法站点的样子,并尝试收集个人或敏感信息。

链接

查看 OWASP 无验证重定向和转发速查表

示例

1. Shopify 主题安装开放重定向

难度:低

URL:app.shopify.com/services/google/themes/preview/supply–blue?domain_name=XX

链接:https://hackerone.com/reports/1019622

报告日期:2015.11.25

奖金:$500

描述:

Shopify 的平台允许商店管理员自定义商店外观。为此,管理员需要安装主题。这里的漏洞时,主题安装页面会解释重定向参数,并向用户浏览器返回 301 重定向,而不验证重定向的目标。

因此,如果用户访问https://app.shopify.com/services/google/themes/preview/supply– blue?domain_name=example.com,它会重定向到http://example.com/admin

恶意用户能够在该域部署站点,并尝试对无意识的用户执行钓鱼攻击。

重要结论

我这里再说一遍,不是所有漏洞都很复杂。这里的开放重定向只需要将重定向参数修改为外部站点。

2. Shopify 登录开放重定向

难度:中

URL:http://mystore.myshopify.com/account/login

报告链接:https://hackerone.com/reports/103772

报告日期:2015.12.6

奖金:$500

描述:

这个开放重定向非常类似于上面讨论的主题安装漏洞,但是这里。漏洞在用户登录,并且使用参数?checkout_url之后出现。例如:

http://mystore.myshopify.com/account/login?checkout_url=.np

因此,当用户访问链接并登录,它会被重定向到:

https://mystore.myshopify.com.np/

它实际上完全不是 Shopify 的域。

3. HackerOne 间隔重定向

难度:中

URL:无

报告链接:https://hackerone.com/reports/111968

报告日期:2016.1.20

奖金:$500

描述:

这里的间隔重定向指代一些重定向,在重定向期间不发生停顿,来告诉你你正在被重定向。

HackerOne 实际上在报告中提供了该漏洞的纯语言描述:

hackerone.com连接被视为可信连接,包括/zendesk_session前面的那些。任何人都可以创建自定义的 Zendesk 账户,它会重定向到不可信的站点,并在/redirect_to_account?state= param;提供该功能。并且由于 Zendesk 允许账户之间的非间隔重定向,你会被引导到任何不可信站点,而没有任何警告。

了解 Zendesk 的原始问题之后,我们选择将带有zendesk_session的链接视为外部链接,点击时会渲染一个外部的图标和间隔警告页面。

所以这里,Mahmoud Jamal(是的,和 Google XSS 漏洞中的人一样)创建了company.zendesk.com并将:

  1. <script>document.location.href = "http://evil.com";</script>

通过 Zendesk 的主题编辑器添加到了头文件中。之后,传递这个链接:

  1. https://hackerone.com/zendesk_session?locale_id=1&return_to=https://support.hackerone.com/ping/redirect_to_account?state=company:/

它用于重定向到生成的 Zendesk 会话。

现在,有趣的是,Mahmoud 向 Zendesk 报告了这个重定向个问题,Zendesk 说他并没有看到任何问题。所以,自然而然,它继续挖掘这个漏洞,看看如何才能利用。

重要结论

我们在应用逻辑一章中讨论了它,但它重复出现在这里,在你搜索漏洞时,要注意站点所使用的的服务,因为在你的搜索过程中,它们每个都代表一种新的攻击向量。这里,这个漏洞可以通过组合 Zendesk 的 HackerOne 使用方法,以及已知的所允许的重定向来实现。

此外,在你寻找 bug 时,阅读和回应你的报告的人有时不能马上理解安全影响。这就是我在漏洞报告中编写这一章的原因。如果你往前推进一小步,并且在你的报告中解释安全映像,它会确保顺利解决。

但是,即使是这样,公司有时候也会不理解你。如果是这样,像 Mahmoud 所做的一样,保持挖掘,并看看是否可以证明它可以利用,或者将其和其它漏洞组合来展示影响。

总结

开放重定向个允许恶意攻击者将人们重定向到未知的恶意站点。就像这些例子展示的那样,寻找他们需要锐利的观察。有时会出现易于发现的redirect_to=domain_name=checkout_url=,以及其它。这种类型的漏洞依赖信任的滥用,其中受害者被诱导来访问攻击者的站点,并认为他们正在浏览他们认可的站点。

通常,当 URL 作为参数传递给 Web 请求时,你可以发现它们。要留意并玩转 URL 地址,以便观察是否接受外部站点的链接。

此外,HackerOne 间隔重定向展示了二者的重要性。当你寻找漏洞时,识别站点所用的工具和服务,以及有时在被认可和接受之前,你需要坚持并清晰展示漏洞。