亚洲必赢手机Web安全荣辱与共

by admin on 2019年9月22日

简介

  这一个经过央浼(如查询字符串和表单数据)钦定重定向USportageL的Web程序恐怕会被曲解,而把客户重定向到表面包车型客车恶意U中华VL。这种歪曲就被称之为开拓重定向攻击。

亚洲必赢手机,现象分析

 
亚洲必赢手机 1

  要是有三个标准网址http://nerddinner.com/,还有一个恶意网站或钓鱼网站http://nerddiner.com/(注意:这里少了个n)。

  一天,小白收到了人家发的链接:http://nerddinner.com/Account/LogOn?returnUrl=http://nerddiner.com。

  1.
张开链接后跻身了登入分界面,小白输入了谐和的帐号名密码举办登陆。

  2. 报到成功后重定向到了恶心网站。

  3. 黑心网址是一个克隆正规网址的记名页面,并在地点提醒顾客名或密码错误。

  4. 小白依据提醒重新输入了帐号密码音讯。

  5.
恶意网址保存了客商的顾客名密码,然后重定向会正规网址。

  6.
小白继续平日例行的操作。

 

防卫开放重定向

  幸免开辟重定向只供给判别重定向的链接是本土的链接恐怕是官方的链接就能够。

  1.
假如登入链接和站点别的页面都在同三个域名,在ASP.MVC中能够用Url.IsLocalUrl(string
url)来判别。

  2.
一旦登入链接和站点其余页面不在同一个域名,如单点登录,则需求和睦去完成推断的逻辑。
 
主题代码

 1        [HttpPost]
 2         public ActionResult LogOn(LogOnModel model, string returnUrl)
 3         {
 4             //Your logon logic here.
 5             FormsAuthentication.SetAuthCookie(model.UserName, false);
 6            //Comment out this code will cause open redirection 
 7             if (!string.IsNullOrEmpty(returnUrl)&& Url.IsLocalUrl(returnUrl))
 8             {
 9                 return Redirect(returnUrl);
10             }
11             return RedirectToAction("Index", "Home");
12         }

 

联想到XSS

  1.
恶意顾客在正儿八经网址下挂了跳转到恶意网址的台本。
  2.
普通客商访问到含恶意脚本的页面会跳转到恶意网址。
  3.
黑心网址是三个克隆正规网址的记名页面,并在上头提醒须求重新登入。
  4.
小白根据提示重新输入了帐号密码音讯。
  5.
恶心网址保存了顾客的客商名密码,然后重定向会正规网址。
 
  注:这种方法每一回访谈含恶意脚本的页面都会跳转到恶意网址(提示重新登陆),而绽放重定向只会唤起客户名密码错误叁次,相对来说,开放重定向的无感知效果要好一些。  

   亚洲必赢手机 2

源码下载

  如若咱们想尝试开放重定向的效果,能够去下载代码,把推断本链接的语句Url.IsLocalUrl(returnUrl)注释掉,然后在登入页面加上想要跳转到的页面,如http://xxx.com/Account/LogOn?ReturnUrl=http://www.baidu.com。

  下载地址:https://github.com/ErikXu/OpenRedirection

 

 小说转发自:http://www.cnblogs.com/Erik_Xu/p/5497479.html

相关文章

发表评论

电子邮件地址不会被公开。 必填项已用*标注

网站地图xml地图