不安全的URL跳转
不安全的URL跳转
一、不安全的URL跳转漏洞概要
服务端未对传入的跳转url变量进行检查和控制，导致可恶意构造任意一个恶意地址，诱导用户跳转到恶意网站。由于是从可信的站点跳转出去的，用户会比较信任，所以跳转漏洞一般用于钓鱼攻击，通过转到恶意网站欺骗用户输入用户名和密码盗取用户信息，或欺骗用户进行金钱交易。
二、频发业务场景
1.登陆跳转最常见的跳转类型，认证完后会跳转，所以在登陆的时候建议多观察url参数
2.用户分享、收藏内容过后，会跳转
3.跨站点认证、授权后，会跳转
4.站内点击其它网址链接时，会跳转
5.在一些用户交互页面也会出现跳转，如请填写对客服评价，评价成功跳转主页，填写问卷，等等业务，注意观察url。
6.业务完成后跳转这可以归结为一类跳转。