不安全的HTTP重定向漏洞与防护

1. 漏洞描述

HTTP重定向漏洞（Unvalidated Redirects and Forwards）是指Web应用在执行重定向或转发时，未对目标URL进行有效验证或限制，导致攻击者可构造恶意链接，将用户诱导至钓鱼网站、恶意页面或同源策略绕过的场景。此类漏洞常被用于钓鱼攻击、会话劫持或信任链滥用。

2. 漏洞原理与危害

2.1 核心机制

• 重定向（Redirect）：服务器返回3xx状态码（如301、302）或通过Location头部将用户浏览器跳转到新URL。
• 转发（Forward）：服务器内部将请求路由到不同页面（如Servlet的forward），URL不变但内容变化。
• 漏洞触发点：
  • 登录后跳转至return_url参数指定的页面。
  • 错误页面跳转至主页或指定URL。
  • OAuth/SSO回调地址未校验域名。

2.2 攻击场景

1. 钓鱼攻击：
   • 用户收到链接：https://trusted-site.com/login?redirect=https://evil.com
   • 登录后自动跳转到伪造的登录页面，诱导用户重新输入凭证。
2. 开放重定向滥用：
   • 攻击者利用受信任域名的重定向功能，使恶意链接看似来自合法站点。
3. 同源策略绕过：
   • 通过重定向至javascript:协议或data:URI执行XSS。

3. 漏洞检测方法

3.1 手动测试

1. 参数枚举：
   • 检查常见参数如redirect、next、return_url、target等。
   • 尝试修改参数值为外部域名（如https://attacker.com）。
2. 协议与路径测试：
   • 测试是否允许跳转到非HTTP协议（如file://、javascript:alert(1)）。
   • 尝试路径遍历（如https://trusted-site.com/redirect?url=../admin）。

3.2 自动化工具

• Burp Suite：使用Scanner模块或Param Miner扩展自动检测重定向参数。
• 自定义脚本：爬取所有链接，筛选含重定向参数的请求并批量测试。

4. 漏洞防护方案

4.1 白名单校验（首选）

• 仅允许跳转到预定义的合法路径或域名：

  // 示例：Java白名单验证
  String[] allowedDomains = {"example.com", "internal.site.com"};
  String targetUrl = request.getParameter("redirect");
  if (Arrays.stream(allowedDomains).anyMatch(targetUrl::contains)) {
      response.sendRedirect(targetUrl);
  } else {
      response.sendRedirect("/default-homepage");
  }
  

4.2 映射表机制

• 将重定向目标编码为不可预测的令牌：

  # 示例：Python映射表
  redirect_map = {
      "home": "/index.html",
      "dashboard": "/user/dashboard"
  }
  target_key = request.args.get("target")
  if target_key in redirect_map:
      return redirect(redirect_map[target_key])
  

4.3 相对路径限制

• 仅允许相对路径（如/dashboard），禁止绝对URL：

  // 示例：PHP路径检查
  $path = $_GET['redirect'];
  if (strpos($path, '://') === false && strpos($path, 'javascript:') === false) {
      header("Location: " . $path);
  }
  

4.4 用户确认提示

• 对非白名单的重定向显示警告页面，提示用户即将离开当前站点。

5. 进阶防护与最佳实践

1. 日志监控：
   • 记录所有重定向操作，检测异常跳转（如频繁指向外部域名）。
2. CSP防护：
   • 通过Content-Security-Policy限制form-action和navigate-to，减少跳转风险。
3. OAuth回调验证：
   • 严格校验redirect_uri与注册地址完全匹配，避免子域劫持。
4. 框架安全特性：
   • 使用Spring Security的RedirectStrategy或Django的is_safe_url()辅助验证。

6. 总结

不安全的HTTP重定向漏洞本质是信任边界失控。通过白名单校验、映射表机制和用户确认三层防护，可有效切断攻击链。同时需结合日志监控与框架安全特性，形成纵深防御体系。