URL跳转漏洞

2022-01-17 约 1989 字预计阅读 4 分钟

漏洞简介

**URL跳转：**目前很多Web应用因为业务需要，需要与内部的其他服务或者第三方的服务进行交互，这样就需要重定向的功能，由当前网页跳转到第三方网页。

比如Java中可通过Header的重定向功能实现url的跳转

1

response.sendRedirect(request.getParameter("url"));

使用的时候就是：

1

http://www.test.com?url=http://www.xxx.com

**URL跳转漏洞：**也叫URL重定向漏洞。由于服务端未对传入的跳转url变量进行检查和控制，可导致恶意用户构造一个恶意地址，诱导用户跳转到恶意网站。因为是从用户可信站点跳转出去的，用户会比较信任该站点，所以其常用于用于钓鱼攻击，通过跳转到恶意网站欺骗用户输入用户名和密码来盗取用户信息，或欺骗用户进行金钱交易；还可以造成xss漏洞。

例子：

1
2
3
4
5


<?php
$url=$_GET['url'];
header("Location: $url");

?>

恶意用户可以提交:http://www.aaa.com/login.php?...://www.bbb.com(钓鱼网站)

来生成自己的恶意链接，安全意识较低的用户很可能会以为该链接展现的内容是www.aaa.com从而可能产生欺诈行为

产生位置

用户登录(最常见)、统一身份认证处，认证完后会跳转(在登陆的时候建议多观察url参数)
用户分享、收藏内容过后，会跳转
跨站点认证、授权后，会跳转
站内点击其它网址链接时，会跳转
在一些用户交互页面也会出现跳转，如请填写对客服评价，评价成功跳转主页，填写问卷，等等业务，注意观察url
业务完成后跳转这可以归结为一类跳转，比如修改密码，修改完成后跳转登陆页面，绑定银行卡，绑定成功后返回银行卡充值等页面，或者说给定一个链接办理VIP，但是你需要认证身份才能访问这个业务，这个时候通常会给定一个链接，认证之后跳转到刚刚要办理VIP的页面。

实现方式

1
2
3


1.META标签内跳转
2.javascript跳转
3.header跳转

漏洞检测

检测方法

修改参数中合法的URL为非法URL，然后查看是否能正常跳转或者响应是否包含了任意的构造URL。

常见产生漏洞的参数名

在黑盒测试时，需多留意关注常见的可能产生漏洞的参数名，可以用来fuzz：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


# 注意URL中是否含有以下参数值
callback
redirect
redirect_to
redirect_url
redirectUrl
toUrl
url
return
ReturnUrl
fromUrl
goto
to
jump
jump_to
target
redUrl
link
linkto
domain
oauth_callback
...

# 并注意观察后跟的URL地址的具体格式，再构造相应的payload尝试跳转

URL跳转Bypass

1.最常用的：@绕过

1

url=http://www.aaaa.com@www.xxx.com(要跳转的页面)他有的可能验证只要存在aaaa.com就允许访问，做个@解析，实际上我们是跳转到xxx.com的

2.绕过一些匹配特定字符

2.1 ?问号绕过

1

url=http://www.aaaa.com?www.xxx.com

2.2 #绕过

1

url=http://www.aaaa.com#www.xxx.com

3.斜杠/绕过

1

url=http://www.aaaa.com/www.xxx.com

反斜线\绕过

1

url=http://www.aaaa.com\www.xxx.com

4.白名单匹配绕过

1

#比如匹配规则是必须跳转，aaa.com 域名下，?#等都不行的时候，aaa.com，可以尝试百度inurl:aaa.com的域名，比如xxxaaa.com，这样同样可以绕过。

5.xip.io绕过

1
2
3
4


# 在绕过ssrf限制中使用过

# 当你访问aaa.com这个域名时，其实这个链接已经被解析到后面这个ip地址上了，那么实际访问的就是后面这个IP地址
url=http://www.aaa.com.220.181.57.217.xip.io

6.白名单网站可信

1

如果url跳转点信任百度url，google url或者其他，则可以多次跳转达到自己的恶意界面。

7.协议绕过

1
2
3
4


#http与https协议转换尝试，或者省略
redict=//www.aaa.com@www.baidu.com

redict=////www.aaa.com@www.baidu.com	# //多斜线

8.xss跳转

1
2
3


# 就是XSS造成的跳转，在有些情况下XSS只能造成跳转的危害。 

<meta  content="1;url=http://www.baidu.com" http-equiv="refresh">

代码审计

在白盒审计中，我们则会重点关注可以进行URL跳转的相关方法。

Spring MVC中使用重定向常用的方法

1.使用ModelAndView方式

2.通过返回String方式

3.使用sendRedirect方式

4.通过设置Header来进行跳转

常用关键字

根据以上常用方法，可以提取如下关键字：

1
2
3
4
5
6
7
8
9


redirect
sendRedirect
ModelAndView
Location
addAttribute
getHost
setHeader
forward
...

其他关键字补充：

漏洞修复

最有效的是，严格控制要跳转的域名。若已知需要跳转URL，则可以直接在代码中写成固定值
也可以使其只根据路径跳转，而不是根据其URL参数跳转
若url事先无法确定，只能通过前端参数传入，则必须在跳转的时候对url进行按规则校验：即控制url是否是你们公司授权的白名单或者是符合你们公司规则的url
XSS漏洞的注意事项：跳转url检测中也加入了CRLF头部注入漏洞的检测逻辑, 具体就是在请求参数中加入了%0d%0a这种测试代码，需要对这些参数进行删除处理(事实上：在判断到一个参数中包含%00 -> %1f的控制字符时都是不合法的，需对其进行删除)。
设置二次提醒，提醒用户

参考

https://www.cnblogs.com/linuxsec/articles/10926152.html