Pengalihan dan Penerusan Tidak Tervalidasi
Sebagian besar aplikasi web di internet sering mengarahkan dan meneruskan pengguna ke halaman lain atau situs web eksternal lainnya. Namun, tanpa memvalidasi kredibilitas halaman tersebut, peretas dapat mengarahkan korban ke situs phishing atau malware, atau menggunakan penerusan untuk mengakses halaman yang tidak sah.
Mari kita pahami Agen Ancaman, Vektor Penyerang, Kelemahan Keamanan, Dampak Teknis, dan Dampak Bisnis dari kelemahan ini dengan bantuan diagram sederhana.
Contoh
Beberapa contoh klasik Pengalihan dan Penerusan yang Tidak Divalidasi seperti yang diberikan -
Katakanlah aplikasi tersebut memiliki halaman - redirect.jsp, yang mengambil parameter redirectrul . Peretas menambahkan URL jahat yang mengarahkan ulang pengguna yang melakukan phishing / menginstal malware.
http://www.mywebapp.com/redirect.jsp?redirectrul=hacker.comSemua aplikasi web digunakan untuk meneruskan pengguna ke berbagai bagian situs. Untuk mencapai hal yang sama, beberapa halaman menggunakan parameter untuk menunjukkan ke mana pengguna harus diarahkan jika suatu operasi berhasil. Penyerang membuat URL yang melewati pemeriksaan kontrol akses aplikasi dan kemudian meneruskan penyerang ke fungsi administratif yang aksesnya tidak dimiliki oleh penyerang.
http://www.mywebapp.com/checkstatus.jsp?fwd=appadmin.jspMekanisme Pencegahan
Lebih baik hindari menggunakan pengalihan dan penerusan.
Jika tidak dapat dihindari, maka itu harus dilakukan tanpa melibatkan parameter pengguna dalam mengarahkan tujuan.