Coders Conquer Security: Share & Learn-Serie — Unvalidierte Weiterleitungen und Weiterleitungen

Das Codieren einer Website oder Anwendung mit der Fähigkeit, nicht validierte Umleitungen und Weiterleitungen zu verarbeiten, kann sowohl für Ihre Benutzer als auch für Ihr Unternehmen äußerst gefährlich sein. Dieser häufige Fehler wird häufig von Hackern ausgenutzt, um Phishing-Betrügereien zu begehen oder sich Zugriff auf Seiten und Informationen zu verschaffen, die normalerweise eingeschränkt sind.

Immer wenn eine Webanwendung darauf ausgelegt ist, Benutzer auf neue Seiten weiterzuleiten, besteht die Gefahr, dass diese Anfragen manipuliert oder gekapert werden können. Dies kann passieren, wenn kein Validierungsprozess vorhanden ist, der verhindert, dass Weiterleitungsparameter auf unbeabsichtigte Ziele verweisen.

Die gute Nachricht ist, dass nicht validierte Umleitungen und Weiterleitungen eine der am leichtesten zu entfernenden Sicherheitslücken in Ihrer Umgebung sind. Nach der Entfernung können Sie mit ein paar einfachen Maßnahmen sicherstellen, dass sie in Zukunft nicht mehr generiert werden.

In dieser Episode werden wir lernen:

• Wie Hacker nicht validierte Redirect- und Forward-Sicherheitslücken ausnutzen
• Warum es gefährlich sein kann, nicht validierte Umleitungen und Weiterleitungen zuzulassen
• Richtlinien und Techniken, die eingesetzt werden können, um dieses Problem zu finden und zu beheben.

Wie nutzen Angreifer nicht validierte Weiterleitungen und Weiterleitungen aus?

Angreifer müssen zunächst eine Webanwendung finden, die so eingerichtet ist, dass sie Benutzer auf eine bestimmte Seite oder Seiten weiterleitet. Wenn die Zielseite im Code definiert ist, besteht keine Sicherheitslücke. In Java wäre dies beispielsweise eine sichere, vordefinierte Methode, um einen Benutzer an einen neuen Standort zu schicken, ohne dass er irgendwelche Aktionen ausführen muss, z. B. das Klicken auf einen Hyperlink.

response.sendRedirect (“ http://www.knownsafesite.com „);

Die Sicherheitsanfälligkeit tritt auf, wenn die Site so programmiert ist, dass sie stattdessen Benutzereingaben für die Weiterleitung akzeptiert, oder wenn der Parameter offen gelassen wird, möglicherweise um die Informationen aus einer anderen Quelle zu erhalten. Ein Entwickler könnte beispielsweise den Parameter „Url'Get“ verwenden.

response.sendRedirect (request.getParameter („url“));

Dies bietet zwar mehr Flexibilität, führt aber auch zu einer Sicherheitsanfälligkeit für nicht validierte Weiterleitungen und Weiterleitungen. Hacker können nach den Schrägstrichen Informationen hinzufügen, um eine Weiterleitung zu einer beliebigen Website auszulösen, vielleicht als Teil einer Phishing-E-Mail. Benutzer sehen die vertrauenswürdige Domain im ersten Teil eines Links und wissen nicht, dass die Website sie möglicherweise auf die Website des Hackers weiterleitet.

Warum sind unbestätigte Weiterleitungen und Weiterleitungen so gefährlich?

Die Gefahr, nicht validierte Umleitungen und Weiterleitungen zuzulassen, kann erheblich sein. Für Benutzer besteht die größte Gefahr darin, dass sie Opfer von Phishing-Angriffen werden können. Da sie die URL der obersten Ebene sehen, ist es wahrscheinlicher, dass sie einer Phishing-E-Mail oder einer anderen Kommunikation vertrauen und auf einen Link klicken. Und wenn die Seite, zu der sie weitergeleitet werden, wie die echte Seite aussieht, kann die Täuschung sehr effektiv sein. Sie geben möglicherweise ihren Benutzernamen, Passwörter oder andere Anmeldeinformationen weiter und ahnen nie, dass sie manipuliert werden.

Beseitigung der Bedrohung durch nicht validierte Umleitungen und Weiterleitungen

Unvalidierte Weiterleitungen und Weiterleitungen werden erst aktiv, wenn eine Anwendung entwickelt wird. Sie können im Nachhinein entfernt werden, aber der einfachste Weg, sie zu eliminieren, besteht darin, Benutzerparameter oder offene Zeichenketten von vornherein nicht als Teil einer Umleitungs- oder Weiterleitungsfunktion zuzulassen. Definieren Sie stattdessen genau die URLs, zu denen Benutzer weitergeleitet werden, indem Sie Variablen eliminieren und Angreifern den Spielraum nehmen. Besser noch, erwägen Sie, überhaupt keine Weiterleitungen und Weiterleitungen zu verwenden.

Wenn es absolut keine Möglichkeit gibt, Variablen als Teil eines Umleitungs- oder Weiterleitungsprozesses zu vermeiden, muss ein Validierungsprozess eingerichtet werden, um sicherzustellen, dass die Weiterleitung an eines von mehreren gültigen Zielen geht. Verwenden Sie abschließend Mapping-Werte anstelle der tatsächlichen URLs. Hacker werden stattdessen versuchen, URL-Informationen zu verwenden, und werden wahrscheinlich nicht in der Lage sein, das Zuordnungsschema zu erraten, selbst wenn sie vermuten, dass eines verwendet wird.

Weitere Informationen zu nicht validierten Weiterleitungen und Weiterleitungen

Für weitere Informationen können Sie sich die OWASP ansehen Referenzseiten bei nicht validierten Weiterleitungen und Weiterleitungen. Sie können Ihr neu gewonnenes Defensivwissen auch auf die Probe stellen mit dem kostenlose Demo der Secure Code Warrior-Plattform, die Cybersicherheitsteams zu ultimativen Cyberkriegern ausbildet. Um mehr über die Beseitigung dieser Sicherheitslücke und eine Galerie mit anderen Bedrohungen zu erfahren, besuchen Sie die Blog von Secure Code Warrior.

Kümmere dich ein für alle Mal um nicht validierte Weiterleitungen und Weiterleitungen. Wenden Sie Ihr neues Wissen an und testen Sie Ihre Fähigkeiten auf unserer gamifizierten Trainingsplattform: [Fangen Sie hier an]