オープンリダイレクト — 行き先を確かめない穴

穴のある場所を読む

shanai-memo には「ポータルへ戻る」ための /go があります。vulnerable/server.mjs の該当部分です。

if (pathname === '/go') {
  const next = url.searchParams.get('next') || '/';
  res.writeHead(302, { location: next }); // ← 行き先を確かめない(穴)
  res.end();
}

next に何が入っていても、そのまま Location にしています。/ のような自サイト内のパスならよいのですが、https://evil.example.com のような外部URLでも、素通しで飛ばします。

攻める

node exploit/open-redirect.mjs

[OpenRedirect] 成立: 外部の https://evil.example.com/phish へリダイレクトしました(行き先を確かめていない)

手で見るなら、curl -i でレスポンスヘッダを覗きます。

curl -s -i "http://127.0.0.1:4599/go?next=https://evil.example.com/phish"

HTTP/1.1 302 Found
location: https://evil.example.com/phish

http://127.0.0.1:4599/go?next=... という自サイトのURLを踏んだ人が、evil.example.com へ運ばれます。攻撃者はこの入口URLをメールなどで配り、飛んだ先に本物そっくりの偽ログイン画面を置きます。

直す

行き先を、自サイトの中(相対パス)に限るのが基本の直し方です。「先頭が1個の / で始まる」ものだけ許し、それ以外は安全な / に落とします。

if (pathname === '/go') {
  const next = url.searchParams.get('next') || '/';
  const safe = /^\/(?!\/)/.test(next) ? next : '/';
  res.writeHead(302, { location: safe });
  res.end();
}

再検証する

サーバを再起動して、もう一度攻めます。

node exploit/open-redirect.mjs

[OpenRedirect] 防御されています: HTTP 302 / Location=/(外部へは飛ばない)

外部URLを渡しても、行き先が自サイトの / に落とされました。

HTTP/1.1 302 Found
location: /

持ち帰る一言

外から来た値で、行き先を決めない。 リダイレクト先・ファイルパス・SQLの識別子など、「外部入力がそのまま制御に使われる」場所はどこも同じ危うさを持ちます。行き先は自サイト内に限るか、許可リストで照合する——が既定です。