코더들이 보안을 정복하다: 셰어&런 시리즈 - 검증되지 않은 리다이렉션 및 전달

검증되지 않은 리디렉션 및 전달을 할 수 있는 기능을 갖춘 웹 사이트 또는 시스템을 구성하는 것은 사용자와 조직 모두에게 매우 위험할 수 있습니다.이러한 일반적인 실싱 피수는 사르저지/평소에 제한되는 페이지 및 최악의적인 정보에 대한 권한을 얻으려는 해커용용용하는 경우가 있습니다.

웹 사용자를 위한 새 페이지로 전달하도록 설계될 때마다 이러한 요청이 조작되고 하이킹될 위험이 있습니다. 전달 매개변수가 아닌 다른 사람을 가리키는 목적지는 것을 중시합니다.

다행인 것은 검증되지 않은 리미션 및 전달은 사용자 환경에서 제거하기가 더 쉬운 취약성 중 하나라는 것입니다.직접 몇 가지 간단한 조치를 취하여 이러한 문제가 발생할 수 있습니다.

이 에피소드에서는 다음을 배우게 됩니다.

• 해자가 검증되지 않은 리미션 및 전달 취약점을 악용하는 방법
• 검증되지 않은 리미션 및 전달을 하는 것이 위험할 수 있는 이유
• 이 찾아 문제를 해결하는 데 사용할 수 있는 정책과 기법.

공격자는 검증되지 않은 리맵션 및 전달을 어떻게 악용합니까?

공격자는 먼저 특정 사용자를 위한 특정 페이지 또는 여러 페이지로 전달하도록 설정된 웹 애플리케이션을 사용합니다.코드 대상 정의점이 없습니다.예 자바 자리 하이퍼링크에서는 같은 작업을 수행할 수 없습니다.

Response.SendRedirect (” http://www.knownsafesite.com “);

이 취약점은 사이트 리디렉션에 대한 사용자 입력을 대신 받아들이도록 프로그래밍된 경우 또는 다른 소스에서 정보를 가져오기 위해 매개변수가 열려 있는 경우 발생합니다.예를 들어 “url'get” 매개변수를 사용할 수 있습니다.

응답.전송 리디렉션 (요청.get매개 변수 (“url”));

# #이렇게 유연성이 향상되지만 검증되지 않은 리디렉션 및 전달 취약성 발생.해시는 슬래브는 나중에 #피싱 이메일처럼 일부처럼 자신이 선택한 곳으로 리디렉션할 수 있습니다. ############################ #0 ######### #0 ######## ######## ################################# #0

검증되지 않은 리미션과 전달이 왜 그렇게 위험한가요?

전달을 통한 사전 동의 및 전달을 통한 심각한 위험이 발생할 수 있습니다.사용자에게 가장 큰 위험은 피싱 공격의 피해자가 될 수 있는 것입니다.최상위 URL을 볼 수 있습니다.최상위 URL을 볼 수 있기 때문에 #피싱 #최상위 URL이나 기타 통신하고 링크를 클릭할 수 있습니다.할 수도 있습니다.

검증되지 않은 리디렉션 및 전달로 인한 위협 제거

검증되지 않은 리미션과 포워드는 시스템이 개발되는 동안 작동하기 시작합니다.이러한 문제는 사후에 제거될 수 있지만, 이를 수행하는 가장 쉬운 방법은 애초 리젝션수의 전달을 위한 것입니다.

리디렉션 또는 전달 시스템의 프레임___J_R_J_의 대상이 아닌 경우 순조로운 대상 집합 중 하나로 이동하는지 확인하는 절차를 마련해야 합니다.

검증되지 않은 리미션 및 전달에 대한 추가 정보

자세한 내용은 OWASP을 참조하십시오. 참조 페이지 검증되지 않은 리미션 및 전달에 대해서.또한 이를 통해 새로 발견한 방어 지식을 테스트할 수 있습니다. 무료 데모 사이버 보안 팀이 궁극의 사이버 전사가 될 수 있도록 교육하는 보안 코드 워리어 플랫폼을 활용했습니다.이 취약점을 해결하는 방법과 기타 위협의 도적 갤러리를 자세히 알아보려면 다음 사이트를 방문하세요. 시큐어 코드 워리어 블로그.

검증되지 않은 리디렉션 및 포워드를 한 번 처리하세요.게임화된 교육 플랫폼에서 새로운 지식을 적용하고 기술을 테스트해 보세요. [여기서 시작]