nieautoryzowane przekierowanie

Nieautoryzowane przekierowanie to podatność pozwalająca skierować użytkownika na dowolny adres przez parametr w odnośniku.

Na czym polega nieautoryzowane przekierowanie

Nieautoryzowane przekierowanie, określane także jako open redirect, występuje wtedy, gdy aplikacja internetowa przyjmuje adres docelowy z parametru żądania i przekazuje użytkownika pod ten adres bez odpowiedniej kontroli. Typowy mechanizm może wyglądać jak odnośnik prowadzący do witryny logowania, który po zakończeniu operacji ma skierować użytkownika dalej. Jeżeli parametr „return”, „next”, „url” albo podobny nie jest sprawdzany, napastnik może podmienić jego wartość na adres własnej strony.

Samo przekierowanie zwykle nie oznacza przejęcia komputera ani automatycznego wykonania kodu. Stanowi jednak problem zaufania do adresu, ponieważ użytkownik może rozpocząć nawigację pod znaną domeną, a następnie zostać przeniesiony do obcej witryny. Ryzyko rośnie, gdy aplikacja używa przekierowania po logowaniu, przy resetowaniu hasła, w wiadomościach e-mail lub w linkach generowanych przez system. W takich miejscach odbiorca może uznać, że cały odnośnik prowadzi do legalnej usługi.

Jak parametr w odnośniku zmienia kierunek nawigacji

W najprostszym wariancie aplikacja odczytuje wartość parametru i zwraca odpowiedź HTTP z nagłówkiem „Location”. Przeglądarka interpretuje ten nagłówek i wykonuje kolejne żądanie wskazanego adresu. Jeżeli serwer bez zastrzeżeń zaakceptuje wartość taką jak „https://przykladowa-domena.pl/login?next=https://inna-domena.example”, użytkownik po wykonaniu czynności może opuścić pierwotny serwis. Podobne zachowanie może zostać wywołane przez adres zapisany bezpośrednio w linku, bez konieczności modyfikowania aplikacji po stronie użytkownika.

Podczas oceny takiego mechanizmu sprawdza się nie tylko pełne adresy absolutne. Błąd może obejmować również adresy względne, podwójne ukośniki, nietypowe kodowanie znaków, znaki nowej linii oraz różnice w interpretacji adresu między biblioteką serwera a przeglądarką. Szczególnej uwagi wymagają wartości, które po rozkodowaniu lub normalizacji zmieniają znaczenie. Kontrola ograniczona do sprawdzenia, czy tekst zawiera nazwę własnej domeny, może być niewystarczająca, ponieważ domena napastnika może pojawić się w nazwie użytkownika, ścieżce albo parametrze obcego adresu.

Skutki dla logowania i wiarygodności witryny

Najczęstszym zastosowaniem nieautoryzowanego przekierowania jest przygotowanie wiarygodnie wyglądającego łańcucha nawigacji. Wiadomość może zawierać odnośnik do poprawnej domeny, a dopiero parametr przekierowania kieruje do strony podszywającej się pod panel logowania. Przekierowanie może też zostać połączone z innymi problemami, na przykład z niewłaściwym przetwarzaniem adresu powrotnego po uwierzytelnieniu. Wtedy odbiorca łatwiej uznaje stronę docelową za część rozpoczętej wcześniej operacji.

W praktyce należy rozróżnić przekierowanie od fałszowania adresu domeny. Adres w pasku przeglądarki zmienia się po wykonaniu odpowiedzi serwera, więc użytkownik, który dokładnie obserwuje nawigację, może zauważyć przejście do innej domeny. Nie eliminuje to zagrożenia, ponieważ wiele osób otwiera link bez analizowania parametrów i kolejnych adresów. Problem może także pogarszać wyniki monitoringu oraz analizę ścieżek użytkownika, gdy aplikacja kieruje ruch do lokalizacji, których administrator nie kontroluje.

Walidacja adresu i postępowanie serwisowe

Bezpieczniejszym rozwiązaniem jest ograniczenie przekierowań do wcześniej zdefiniowanych ścieżek wewnętrznych, na przykład do stałej strony panelu lub określonego widoku aplikacji. Gdy wymagany jest adres zewnętrzny, powinien zostać sprawdzony według jasno określonej listy dozwolonych domen, schematów i portów, z uwzględnieniem poprawnego parsowania oraz normalizacji adresu. W wielu przypadkach można całkowicie zrezygnować z parametru i użyć identyfikatora przechowywanego po stronie serwera. Należy również testować przekierowania po zmianach w kodzie, konfiguracji serwera i systemie logowania.

Na laptopie lub komputerze PC objawem problemu może być powtarzające się otwieranie nieznanych stron po kliknięciu prawidłowego odnośnika, zmiana karty przeglądarki na obcą domenę albo pojawianie się nietypowych parametrów w pasku adresu. W diagnostyce warto sprawdzić historię przekierowań, adresy DNS, rozszerzenia przeglądarki, ustawienia skrótów oraz źródło konkretnego odnośnika. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego może przeprowadzić diagnostykę urządzenia w zakresie objawów związanych z oprogramowaniem i działaniem przeglądarki.