Programadores que conquistan la seguridad: Serie de aprendizaje y colaboración - Redirecciones y reenvíos no validados

Programar un sitio web o una aplicación con la capacidad de procesar redirecciones y reenvíos no validados puede ser extremadamente peligroso tanto para sus usuarios como para su organización. Este error común suele ser aprovechado por piratas informáticos que buscan perpetrar estafas de phishing o acceder a páginas e información que normalmente estarían restringidas.

Siempre que una aplicación web esté diseñada para reenviar a los usuarios a nuevas páginas, existe el peligro de que dichas solicitudes puedan ser manipuladas o secuestradas. Esto puede ocurrir si no existe un proceso de validación para evitar que los parámetros de reenvío apunten a destinos no deseados.

La buena noticia es que las redirecciones y los reenvíos no validados son una de las vulnerabilidades más fáciles de eliminar de su entorno. Una vez eliminados, puede seguir unos sencillos pasos para asegurarse de que nunca se generen en el futuro.

En este episodio, aprenderemos:

• Cómo los piratas informáticos explotan las vulnerabilidades de redirección y reenvío no validados
• Por qué permitir redirecciones y reenvíos no validados puede ser peligroso
• Políticas y técnicas que se pueden emplear para encontrar y solucionar este problema.

¿Cómo explotan los atacantes las redirecciones y los reenvíos no validados?

Los atacantes primero deben encontrar una aplicación web configurada para reenviar a los usuarios a una o varias páginas específicas. Si la página de destino está definida en el código, no existe vulnerabilidad. Por ejemplo, en Java, esta sería una forma segura y predefinida de enviar a un usuario a una nueva ubicación sin requerir que realice ninguna acción, como hacer clic en un hipervínculo.

response.sendRedirect("http://www.knownsafesite.com");

La vulnerabilidad ocurre si el sitio está programado para aceptar la entrada del usuario para la redirección, o si el parámetro se deja abierto, tal vez para obtener la información de otra fuente. Por ejemplo, un desarrollador podría usar el parámetro GET "url".

response.sendRedirect(request.getParameter("url"));

Si bien esto brinda más flexibilidad, también crea la vulnerabilidad de redirecciones y reenvíos no validados. Los piratas informáticos pueden agregar información después de las barras diagonales para activar una redirección al sitio que elijan, tal vez como parte de un correo electrónico de phishing. Los usuarios ven el dominio confiable en la primera parte de un enlace y no se dan cuenta de que el sitio web puede reenviarlos al sitio del atacante.

¿Por qué son tan peligrosas las redirecciones y los reenvíos no validados?

El peligro que supone permitir redirecciones y reenvíos no validados puede ser significativo. Para los usuarios, el mayor peligro es que pueden convertirse en víctimas de ataques de phishing. Debido a que ven la URL de nivel superior, es más probable que confíen en un correo electrónico de phishing u otra comunicación y hagan clic en un enlace. Y si la página a la que son redirigidos parece la página real, el engaño puede ser bastante efectivo. Podrían compartir su nombre de usuario, contraseñas u otras credenciales sin sospechar nunca que están siendo manipulados.

Eliminación de la amenaza que representan las redirecciones y los reenvíos no validados

Las redirecciones y los reenvíos no validados surgen mientras se desarrolla una aplicación. Se pueden eliminar a posteriori, pero la forma más fácil de eliminarlos es simplemente no permitir parámetros de usuario o cadenas abiertas como parte de ninguna función de redirección o reenvío desde el principio. En su lugar, defina estrictamente las URL a las que se reenviará a los usuarios, eliminando variables y negando a los atacantes espacio para maniobrar. Mejor aún, considere no utilizar redirecciones ni reenvíos en absoluto.

Si no hay forma de evitar tener variables como parte de un proceso de redirección o reenvío, entonces debe implementarse un proceso de validación para garantizar que la redirección se dirija a uno de los destinos válidos establecidos. Finalmente, utilice valores de mapeo en lugar de URL reales. Los piratas informáticos intentarán utilizar información de la URL y probablemente no podrán adivinar el esquema de mapeo, incluso si sospechan que se está utilizando uno.

Más información sobre redirecciones y reenvíos no validados

Para seguir leyendo, puede consultar las páginas de referencia de OWASP sobre redirecciones y reenvíos no validados. También puede poner a prueba sus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior, que entrena a los equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para obtener más información sobre cómo derrotar esta vulnerabilidad y una galería de otras amenazas, visite el blog de Secure Code Warrior.

Soluciona de una vez por todas las redirecciones y reenvíos no validados. Aplica tus nuevos conocimientos y pon a prueba tus habilidades en nuestra plataforma de formación gamificada: [Empieza aquí]