Entwickler meistern Sicherheit: Share & Learn-Reihe – Unvalidierte Weiterleitungen und Umleitungen

Die Programmierung einer Website oder Anwendung, die unvalidierte Weiterleitungen und Umleitungen verarbeitet, kann für Ihre Benutzer und Ihr Unternehmen äußerst gefährlich sein. Dieser häufige Fehler wird oft von Hackern ausgenutzt, um Phishing-Betrug zu begehen oder Zugriff auf Seiten und Informationen zu erhalten, die normalerweise geschützt wären.

Wann immer eine Webanwendung so konzipiert ist, dass Benutzer auf neue Seiten weitergeleitet werden, besteht die Gefahr, dass diese Anfragen manipuliert oder gekapert werden. Dies kann geschehen, wenn kein Validierungsprozess vorhanden ist, der verhindert, dass Weiterleitungsparameter auf unbeabsichtigte Ziele verweisen.

Die gute Nachricht ist, dass unvalidierte Weiterleitungen und Umleitungen zu den Schwachstellen gehören, die sich am einfachsten aus Ihrer Umgebung entfernen lassen. Sobald sie beseitigt sind, können Sie einige einfache Schritte unternehmen, um sicherzustellen, dass sie in Zukunft nicht mehr auftreten.

In dieser Folge erfahren Sie:

• Wie Hacker Schwachstellen durch unvalidierte Weiterleitungen und Umleitungen ausnutzen
• Warum unvalidierte Weiterleitungen und Umleitungen gefährlich sein können
• Richtlinien und Techniken, die eingesetzt werden können, um dieses Problem zu finden und zu beheben.

Wie nutzen Angreifer unvalidierte Weiterleitungen und Umleitungen aus?

Angreifer müssen zunächst eine Webanwendung finden, die so eingestellt ist, dass Benutzer auf eine oder mehrere bestimmte Seiten weitergeleitet werden. Wenn die Zielseite im Code definiert ist, besteht keine Schwachstelle. In Java wäre dies beispielsweise eine sichere, vordefinierte Methode, um einen Benutzer an einen neuen Ort zu senden, ohne dass dieser eine Aktion ausführen muss, wie etwa das Klicken auf einen Hyperlink.

response.sendRedirect("http://www.knownsafesite.com");

Die Schwachstelle tritt auf, wenn die Website stattdessen Benutzereingaben für die Weiterleitung akzeptiert oder wenn der Parameter offen gelassen wird, möglicherweise um die Informationen aus einer anderen Quelle zu beziehen. Ein Entwickler könnte beispielsweise den "url"-GET-Parameter verwenden.

response.sendRedirect(request.getParameter("url"));

Obwohl dies mehr Flexibilität bietet, schafft es auch die Schwachstelle für unvalidierte Weiterleitungen und Umleitungen. Hacker können nach den Schrägstrichen Informationen hinzufügen, um eine Weiterleitung zu einer beliebigen Website ihrer Wahl auszulösen, beispielsweise als Teil einer Phishing-E-Mail. Benutzer sehen die vertrauenswürdige Domain im ersten Teil eines Links und erkennen nicht, dass die Website sie möglicherweise auf die Seite des Hackers weiterleitet.

Warum sind unvalidierte Weiterleitungen und Umleitungen so gefährlich?

Die Gefahr, die von unvalidierten Weiterleitungen und Umleitungen ausgeht, kann erheblich sein. Für Benutzer besteht die größte Gefahr darin, Opfer von Phishing-Angriffen zu werden. Da sie die übergeordnete URL sehen, vertrauen sie eher einer Phishing-E-Mail oder einer anderen Kommunikation und klicken auf einen Link. Und wenn die Seite, auf die sie weitergeleitet werden, wie die echte Seite aussieht, kann die Täuschung sehr effektiv sein. Sie könnten ihren Benutzernamen, ihre Passwörter oder andere Anmeldedaten preisgeben, ohne jemals zu ahnen, dass sie manipuliert werden.

Beseitigung der Bedrohung durch unvalidierte Weiterleitungen und Umleitungen

Unvalidierte Weiterleitungen und Umleitungen entstehen bereits während der Entwicklung einer Anwendung. Sie können nachträglich beseitigt werden, aber am einfachsten ist es, Benutzerparameter oder offene Zeichenfolgen gar nicht erst als Teil einer Weiterleitungs- oder Umleitungsfunktion zuzulassen. Definieren Sie stattdessen die URLs, zu denen Benutzer weitergeleitet werden, genau, eliminieren Sie Variablen und entziehen Sie Angreifern den Spielraum. Noch besser: Überlegen Sie, ob Sie überhaupt Weiterleitungen und Umleitungen verwenden müssen.

Wenn es absolut keine Möglichkeit gibt, Variablen als Teil eines Weiterleitungs- oder Umleitungsprozesses zu vermeiden, muss ein Validierungsprozess eingerichtet werden, um sicherzustellen, dass die Weiterleitung zu einem der festgelegten gültigen Ziele führt. Verwenden Sie schließlich Mapping-Werte anstelle von tatsächlichen URLs. Hacker werden stattdessen versuchen, URL-Informationen zu verwenden, und werden das Mapping-Schema wahrscheinlich nicht erraten können, selbst wenn sie vermuten, dass eines verwendet wird.

Weitere Informationen zu unvalidierten Weiterleitungen und Umleitungen

Für weiterführende Informationen können Sie einen Blick auf die Referenzseiten von OWASP zu unvalidierten Weiterleitungen und Umleitungen werfen. Sie können Ihr neu gewonnenes Verteidigungswissen auch mit der kostenlosen Demo der Secure Code Warrior-Plattform auf die Probe stellen, die Cybersicherheitsteams zu ultimativen Cyber-Kriegern ausbildet. Um mehr darüber zu erfahren, wie Sie diese Schwachstelle und eine ganze Reihe anderer Bedrohungen abwehren können, besuchen Sie den Secure Code Warrior-Blog.

Beseitigen Sie unvalidierte Weiterleitungen ein für alle Mal. Wenden Sie Ihr neues Wissen an und testen Sie Ihre Fähigkeiten auf unserer spielerischen Trainingsplattform: [Hier starten]