Les codeurs conquièrent la sécurité : Share & Learn Series - Redirections et renvois non validés
Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]
Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux pour vos utilisateurs et votre organisation.
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]
Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]
Table des matières
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Évaluation comparative des compétences en matière de sécurité : Rationalisation de la conception sécurisée dans l'entreprise
Le mouvement "Secure-by-Design" (conception sécurisée) est l'avenir du développement de logiciels sécurisés. Découvrez les éléments clés que les entreprises doivent garder à l'esprit lorsqu'elles envisagent une initiative de conception sécurisée.
DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior
L'utilisation par DigitalOcean de la formation Secure Code Warrior a considérablement réduit la dette de sécurité, permettant aux équipes de se concentrer davantage sur l'innovation et la productivité. L'amélioration de la sécurité a renforcé la qualité des produits et l'avantage concurrentiel de l'entreprise. À l'avenir, le score de confiance SCW les aidera à améliorer leurs pratiques de sécurité et à continuer à stimuler l'innovation.
Ressources pour vous aider à démarrer
La note de confiance révèle la valeur des initiatives d'amélioration de la sécurité par la conception
Nos recherches ont montré que la formation au code sécurisé fonctionne. Le Trust Score, qui utilise un algorithme s'appuyant sur plus de 20 millions de points de données d'apprentissage issus du travail de plus de 250 000 apprenants dans plus de 600 organisations, révèle son efficacité à réduire les vulnérabilités et la manière de rendre l'initiative encore plus efficace.
Sécurité réactive contre sécurité préventive : La prévention est un meilleur remède
L'idée d'apporter une sécurité préventive aux codes et systèmes existants en même temps qu'aux applications plus récentes peut sembler décourageante, mais une approche "Secure-by-Design", mise en œuvre en améliorant les compétences des développeurs, permet d'appliquer les meilleures pratiques de sécurité à ces systèmes. C'est la meilleure chance qu'ont de nombreuses organisations d'améliorer leur sécurité.
Les avantages de l'évaluation des compétences des développeurs en matière de sécurité
L'importance croissante accordée au code sécurisé et aux principes de conception sécurisée exige que les développeurs soient formés à la cybersécurité dès le début du cycle de développement durable, et que des outils tels que le Trust Score de Secure Code Warriorles aident à mesurer et à améliorer leurs progrès.
Assurer le succès des initiatives de conception sécurisée de l'entreprise
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise est le résultat d'une analyse approfondie d'initiatives réelles de conception sécurisée au niveau de l'entreprise, et de l'élaboration d'approches de meilleures pratiques basées sur des conclusions fondées sur des données.