신뢰할 수 없는 사이트로의 URL 리다이렉션(‘open redirect’)

설명

이 사이트는 사용자가 제공한 입력에서 오픈 리다이렉트를 허용하는 것으로 발견되었습니다. 오픈 리다이렉트는 일반적으로 피싱 공격에서 남용되며, 원래 도메인 또는 URL이 유용한 링크처럼 보이지만 사용자를 악성 사이트로 리다이렉트합니다. 예를 들어 https://example.com/redirect?url=https://%62%61%64%2e%63%6f%6d%2f%66%61%6b%65%6c%6f%67%69%6e는 디코딩하면 bad.com/fakelogin으로 변환됩니다.

복구

‘GET’ 요청에서 발견된 사용자 입력을 기반으로 클라이언트를 리다이렉트해서는 안 됩니다. 사용자를 리다이렉트할 대상 링크 디렉터리은 서버 측에 포함되어 있고, 숫자 값으로 인덱스를 사용하여 해당 인덱스에 대한 링크를 반환합니다. 예를 들어, /redirect?id=1은 애플리케이션이 1 인덱스를 조회하고 https://example.com과 같은 URL을 반환하도록 합니다. 그런 다음 이 URL을 사용하여 사용자를 리다이렉트하며, 301 응답 코드와 Location 헤더를 사용합니다.

세부 정보

ID 집계 CWE 유형 위험
601.1 true 601 매뉴얼적 낮음

링크