Node.js中的不安全跳转如何防御详解-创新互联

导语：

早年在浏览器大战期间，有远见的Chrome认为要运行现代Web应用，浏览器必须有一个性能非常强劲的Java引擎，于是Google自己开发了一个高性能的开源的Java引擎，名字叫V8。在2009年，Ryan正式推出了基于Java语言和V8引擎的开源Web服务器项目，命名为Node.js。

对于任何web开发人员来说，不安全或未经验证的重定向都是重要的安全考虑因素。Express为重定向提供了本地支持，使它们易于实现和使用。Express是一种保持最低程度规模的灵活Node.js Web应用程序框架，为Web和移动应用程序提供一组强大的

什么是不安全的重定向？

对于任何web开发人员来说，不安全或未经验证的重定向都是重要的安全考虑因素。Express为重定向提供了本地支持，使它们易于实现和使用。然而，Express将执行输入验证的工作留给了开发人员。Express是一种保持最低程度规模的灵活Node.js Web应用程序框架，为Web和移动应用程序提供一组强大的功能。

下面是OWASP.org网站给出的“未经验证的重定向和转发”的定义:

如果web应用程序接受不可信的输入，可能导致web应用程序将请求重定向到不可信输入中包含的URL，则可以进行未经验证的重定向和转发。

重定向通常在登录和身份验证过程中使用，因此可以在登录之前将用户重定向到他们所在的页面。但根据业务需求或应用程序类型而有所不同，也存在其他重定向情况。

为什么要避免重定向？

不验证用户输入的重定向，可以使攻击者具备发起网络钓鱼诈骗的条件，从而窃取用户凭据并执行其他恶意操作。

注意：当在Node.js或Express中实现重定向时，在服务器端执行输入验证很重要。

如果攻击者发现用户没有验证外部用户提供的输入，他们可能会利用这个漏洞在论坛、社交媒体和其他公共场所发布专门设计的链接，让用户点击它。

从表面上看，这些URL看起来合法且对用户来说并无威胁，这是因为所有这些要重定向的URL都包含目标的主机名：

https://example.com/login?url=http://examp1e.com/bad/things

但是，如果服务器端重定向逻辑未验证输入url参数的数据，则用户可能最终会访问黑客所提前设置的网站（examp1e.com），满足攻击的需求！以上只是攻击者如何利用不安全重定向逻辑的一个例子。

不安全重定向例子并将其直接传递到Express res.redirect()方法中。因此，只要用户通过身份验证，Express就会将用户重定向到输入或提供的URL。

var express = require('express');
var port = process.env.PORT || 3000;
var app = express();

app.get('/login', function (req, res, next) {

 if(req.session.isAuthenticated()) {

 res.redirect(req.query.url);
 }
});

app.get('/account', function (req, res, next) {
 res.send('Account page');
});

app.get('/profile', function (req, res, next) {
 res.send('Profile page');
});

app.listen(port, function() {
 console.log('Server listening on port ' + port);
});

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。