防止nodejs中的开放重定向攻击安全吗？

Question

我正在尝试防止开放重定向攻击。请查看以下代码并检查安全性：

var = require('url');

// http://example.com/login?redirect=http://example.com/dashboard
app.route('/login', function (req, res, next) {
   var redirect = req.query.redirect,
        paths = url.parse(redirect); 

   if (paths.host !== req.headers.host) {
      return next(new Error('Open redirect attack detected'));
   }

   return res.redirect(redirect);
});

是否足以防止开放重定向攻击还是我应该添加其他任何东西？

Answer 1

CWE-601: URL Redirection to Untrusted Site ('Open Redirect')

Open Redirect的描述：

http 参数可能包含 URL 值，并可能导致 Web 应用程序将请求重定向到指定的 URL。通过将 URL 值修改为恶意站点，攻击者可能会成功发起网络钓鱼诈骗并窃取用户凭据。由于修改后链接中的服务器名称与原始站点相同，因此网络钓鱼尝试具有更可信的外观。

input validation策略防止开放重定向攻击的建议：

假设所有输入都是恶意的。使用“接受已知良好”的输入验证策略，即使用严格符合规范的可接受输入的白名单。拒绝任何不严格符合规范的输入，或将其转换为符合规范的输入。 不要仅仅依靠寻找恶意或格式错误的输入（即，不要依靠黑名单）。黑名单可能会遗漏至少一个不受欢迎的输入，尤其是在代码环境发生变化的情况下。这可以为攻击者提供足够的空间来绕过预期的验证。但是，黑名单可用于检测潜在攻击或确定哪些输入格式错误以至于应该彻底拒绝它们。 使用批准的 URL 或域的白名单来进行重定向。

使用req.headers.host、req.host 或req.hostname 是不安全的，因为req.headers 可以被伪造（例如，HTTP 请求具有自定义的Host 标头来访问用以下代码编写的快速应用程序）

var url = require('url');

app.get('/login', function (req, res, next) {
    var redirect = req.query.redirect,
        targetUrl = url.parse(redirect);
    console.log('req.headers.host: [%s]', req.headers.host);
    console.log('req.host: [%s]', req.host);
    console.log('req.hostname: [%s]', req.hostname);
    if (targetUrl.host != req.headers.host) {
        return next(new Error('Open redirect attack detected'));
    }
    return res.redirect(redirect);
});

使用curl 发出请求：

$ curl -H 'Host: malicious.example.com' 'http://localhost:3012/login?redirect=http://malicious.example.com' -i
HTTP/1.1 302 Found
X-Powered-By: Express
Location: http://malicious.example.com
Vary: Accept
Content-Type: text/plain; charset=utf-8
Content-Length: 54
Date: Mon, 13 Jun 2016 06:30:55 GMT
Connection: keep-alive

$ #server output
req.headers.host: [malicious.example.com]
req.host: [malicious.example.com]
req.hostname: [malicious.example.com]

我建议你使用白名单来验证输入，示例代码如下：

const WHITELIST_TO_REDIRECT = new Set(["localhost:3012", "www.realdomain.com"]);

app.get('/login', function (req, res, next) {
   var redirect = req.query.redirect,
        targetUrl = url.parse(redirect);
   console.log("req.hostname: [%s]", req.hostname);
   console.log("url.host: [%s]", targetUrl.host);
   if (!WHITELIST_TO_REDIRECT.has(targetUrl.host)) {
      return next(new Error('Open redirect attack detected'));
   }

   return res.redirect(redirect);
});

Answer 2

在这种情况下，我会使用HMAC。这将允许登录控制器验证 redirect 参数是否由知道密钥的人生成。

当您生成“登录”网址时，您会将redirect 参数的 HMAC 摘要与重定向参数本身一起添加到网址中。

登录处理程序可以使用 HMAC 来确保 redirect 参数是由知道 HMAC 密钥的受信任服务器生成的，从而防止开放式重定向攻击。

例如

var crypto = require('crypto');
var secretKey = 'change-me';
var loginUrl = 'http://example.com/login'

// called to work out where to redirect to for login
function getLoginUrl(redirectBackUrl) {
    var sig = crypto.createHmac('sha1', secretKey)
                    .update(redirectBackUrl)
                    .digest('hex');

    return loginUrl 
         + '?redirect=' 
         + encodeURIComponent(redirectBackUrl) 
         +'&sig=' + sig;
}

// called by the login function to ensure that the 
// redirect parameter is valid
function isRedirectUrlValid(url, sig) {
    var expectedSig
            = crypto.createHmac('sha1', secretKey)
                    .update(url)
                    .digest('hex');

     return expectedSig === sig;
}