web-playbook-04-open-redirect—…

# 开放重定向漏洞排查与修复方案

一、漏洞原理

redirect_url 参数未经校验直接用于跳转，攻击者可构造 login.example.com?redirect_url=https://evil.com 诱导用户跳至钓鱼站，窃取凭据。

二、排查步骤（20个落地页）

1. 梳理清单

• 列出20个落地页URL及各自的 redirect_url 目标值

2. 手动验证（优先级最高）

• 对每个落地页分别请求三类测试值：
• redirect_url=https://evil.com（外部绝对地址）
• redirect_url=//evil.com（协议相对地址，常见绕过）
• redirect_url=https://evil.com.example.com 与 redirect_url=https://example.com.evil.com（域名混淆）
• 观察响应：
• 302/301/307 的 Location 头是否指向外部域 → 存在漏洞
• 前端 JS location.href = 参数 / window.open 也需检查（DOM型开放重定向）

3. 批量自动化

• 用 Burp Suite / 自写脚本（Python requests，禁跟随重定向 allow_redirects=False）批量测试20个页面，记录 Location 响应头
• 同时检查其他参数名变体：redirect、returnUrl、next、url、jump 等

4. 绕过场景补充测试

• URL编码变形：%2F%2Fevil.com
• 反斜杠：https:\\evil.com 或 \/\/evil.com
• 白名单前缀欺骗：https://[email protected]

三、判定标准

| 情况 | 结论 |

|---|---|

| 可跳转至任意外部域名 | 高危漏洞 |

| 仅白名单内域名可跳转 | 安全 |

| 跳转前有用户二次确认页 | 低风险 |

四、修复方案

1. 白名单校验（核心）

```python

from urllib.parse import urlparse

ALLOWED_HOSTS = {'example.com', 'm.example.com'}

target = urlparse(redirect_url)

if target.netloc not in ALLOWED_HOSTS:

redirect_url = '/default-page' # 回退到默认页

```

2. 推荐改用间接映射

• 服务端维护映射表：redirect_id=1 → /member/center，URL中完全不出现目标地址

3. 只允许相对路径

• 强制以 / 开头且非 //、/\，拒绝绝对URL

4. 其他加固

• 跳转前增加提示页：“即将跳转至 xxx，是否继续？”
• 对 redirect_url 参数做HMAC签名校验，防篡改
• 修复后回归测试20个页面，并加入安全测试用例持续监控

五、交付建议

输出排查报告：每个落地页的测试结果、漏洞等级、修复状态，修复完成后建议提交至公司SRC或进行渗透复测确认。