程序员征服安全：分享与学习系列-未经验证的重定向和转发

Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.

Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.

La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.

Dans cet épisode, vous apprendrez

• Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
• Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
• Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.

Comment les attaquants exploitent-ils les redirections et les transferts non validés ?

Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.

response.sendRedirect("http://www.knownsafesite.com") ;

La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".

response.sendRedirect(request.getParameter("url")) ;

Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.

Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?

Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.

Éliminer la menace que représentent les redirections et les renvois non validés

Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.

S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.

Plus d'informations sur les redirections et les transferts non validés

Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]