신뢰되지 않는 사이트로의 URL 리다이렉션(‘오픈 리다이렉트’)

설명

이 사이트는 사용자가 제공한 입력에서 오픈 리다이렉트를 허용하는 것으로 확인되었습니다. 오픈 리다이렉트는 원래 도메인이나 URL이 유용한 링크처럼 보이지만 사용자를 악성 사이트로 리다이렉트하는 피싱 공격에서 흔히 남용됩니다. 예를 들어, https://example.com/redirect?url=https://%62%61%64%2e%63%6f%6d%2f%66%61%6b%65%6c%6f%67%69%6e는 디코딩하면 bad.com/fakelogin으로 변환됩니다.

복구

GET 요청에서 발견된 사용자 입력을 기반으로 클라이언트를 리디렉션하지 마십시오. 사용자를 리다이렉트할 대상 링크 디렉터리은 서버 측에 포함되어 있고, 숫자 값으로 검색하여 리디렉트할 링크를 반환하는 것이 좋습니다. 예를 들어, /redirect?id=1은 애플리케이션이 1 인덱스를 조회하고 https://example.com과 같은 URL을 반환합니다. 그런 다음 이 URL을 사용하여 301 응답 코드와 Location 헤더를 사용하여 사용자를 리다이렉트합니다.

세부 정보

ID 집계 CWE 유형 위험
601.1 true 601 매뉴얼 낮음

링크