[InnyKtosek]

Czemu "open redirect" prawie wszyscy uważają za lukę bezpieczeństwa? Wszyscy jako przykład ataku podają phishing bo można wygenerować link z domeny X na domenę Y i wstawić to np. w e-maila. No ale litości, w e-mailu mogę równie dobrze wpisać: [http://google.com](http://google.com) i na to samo wyjdzie.

Zna ktoś jakikolwiek sensowy sposób wykorzystania tej luki?

Co ciekawe, Google w swoim programie Bug Bounty wprost stwierdza, że według nich nie jest to luka bezpieczeństwa i ja w sumie mam takie samo zdanie.

#security #itsecurity #itsec #programowanie

[PiersiowkaPelnaZiol]

@InnyKtosek: .

[tfbeen]

@InnyKtosek: jak możesz przekierować po zalogowaniu na swoją domenę to możesz pobrać referer, ktory będzie zawierał np authToken, wpisz w google „stealing tokens via open redirect”

[InnyKtosek]

@tfbeen: Jeśli nawiązujesz do OAuth do w takim przypadku wymagana jest jeszcze znajomość "client secret" więc nic to nie da.

[TrzyZnaki]

@InnyKtosek: Są egzotyczne przypadki takie jak np. ten: https://sekurak.pl/blad-bezpieczenstwa-w-aplikacji-desktopowej-google-chat-czyli-jak-uczynic-open-redirect-znow-wielkim/

[jacekprim]

mogę równie dobrze wpisać: http://google.com i na to samo wyjdzie

@InnyKtosek: Filtry antyspamowe często sprawdzają reputację linkowanych stron, tutaj evil.com (nie google.com) np. używając URIBL, co nie działa tak jak powinno w przypadku gdy spamer użyje takiego przekierowania.

[ZaufanaTrzeciaStrona]

@InnyKtosek: Czasem są ataki w których się przydaje. Zależy od kontekstu. Tak samo jak XSS - czasem banalny, czasem wormable.

[securitymb]

@InnyKtosek: W odniesieniu do OAutha, to jeśli używany jest flow "implicit grant", to wówczas client secret nie jest potrzebny, więc open redirect może być przydatny.

Ponadto open redirect jest ciekawy w aplikacjach, które opierają się o jakiekolwiek mechanizmy typu webview (jak zalinkowany wyżej mój tekst o Hangouts Chat).

Moim zdaniem open redirect jako możliwość wykonania phishingu to faktycznie dość naciągany atak. Natomiast, jak wspomniał @ZaufanaTrzeciaStrona, przydaje się przy innych atakach.