3.9.1. Giới thiệu
Ứng dụng web thường xuyên đưa người dùng đến những liên kết qua các website khác và sử dụng những thông tin thiếu tin cậy để xác định đích đến. Nếu
29
không được kiểm tra một cách cẩn thận, kẻ tấn công có thể lợi dụng để chuyển nạn nhân đến các trang web lừa đảo, phần mềm độc hại hoặc chuyển tiếp để truy cập các trang trái phép.
Ví dụ:
Ứng dụng này có một trang gọi là "redirect.jsp" mà có một tham số duy nhất có tên là"url". Kẻ tấn công tạo một URL độc hại để hướng người dùng đến một trang web độc hại để thực hiện lừa đảo và cài đặt các phần mềm độc hại.
http://www.example.com/redirect.jsp?url=evil.com
3.9.2. Hoạt động
- Tác nhân đe dọa: Hãy xem xét bất cứ ai có thể lừa người dùng của bạn gửi yêu cầu đến trang web của bạn. Bất kỳ trang web hoặc nguồn cấp dữ liệu HTML khác mà người dùng của bạn sử dụng có thể làm điều này.
- Hướng tấn công: Kẻ tấn công tạo ra những đường dẫn liên kết thiếu chứng thực và lừa nạn nhân nhấp chuột vào. Khả năng nạn nhân sẽ nhấp chuột vào rất cao vì đó là đường dẫn đến một trang web hợp lệ. Kẻ tấn công nhắm vào chuyển tiếp để vượt qua bước kiểm tra bảo mật.
- Điểm yếu bảo mật: Các ứng dụng thường xuyên chuyển hướng người dùng đến các trang khác, hoặc sử dụng chuyển tiếp nội bộ một cách tương tự. Đôi khi các trang đích được quy định trong một tham số thiếu thẩm tra, cho phép kẻ tấn công lựa chọn trang đích. Phát hiện chuyển hướng thiểu thẩm tra phải tìm kiếm chuyển hướng mà có thể thiết lập toàn bộ URL. Chuyển tiếp thiếu chứng thực thì khó hơn, vì chúng hướng vào các trang nội bộ.
- Ảnh hưởng kĩ thuật: Những chuyển hướng như vậy có thể cố gắng để cài đặt phần mềm độc hại hoặc lừa nạn nhân khai báo mật khẩu hoặc các
30
thông tin nhạy cảm khác. Chuyển tiếp không an toàn có thể cho phép vượt qua các bước kiểm tra truy cập.
3.9.3. Phòng chống
An toàn sử dụng các chuyển hướng và chuyển tiếp có thể được thực hiện trong một số cách sau đây:
- Đơn giản chỉ cần tránh sử dụng chuyển hướng và chuyển tiếp.
- Nếu sử dụng, tránh sử dụng tham số của người dùng cho việc xác định điểm đến.
- Nếu sử dụng tham số cho điểm đến không thể tránh khỏi đảm bảo giá trị của tham số là hợp lệ và đúng quyền người dùng.