=/= Redirekcije =/=
_ 2007-07-22 20:13:26 _

Redirekcije

Socijalni inženjering je umetnost obmane ili forsiranja ljudi da urade nesto
drugačije nego sto bi to uradili pod normalnim okolnostima. Internet korisnik
ne sme potpuno verovati web lokaciji na kojoj se nalazi ni pod kojim uslovima.

Korisnik bilo koje web lokacije mora biti svestan činjenice da se svakog dana
otkrivaju novi načini eksploatacije internet resursa, i da postoje naizgled
bezopasne funkcije sistema koje se mogu iskoristiti u veoma destruktivne svrhe.
Jednu takvu funkciju ću opisati u nastavku teksta, inače služi za redirekciju
korisnika. 

Mnogo sajtova koristi funkciju redirekcije za praćenje aktivnosti svojih
korisnika ili za direktno preusmeravanje na eksterne resurse. Ova opcija moze
biti veoma korisna jer na taj način možemo pratiti vise parametara i kasnije
obratiti ove podatke radi pravljenja statistike. Možemo preusmeravti korisnike
iz raznih zemalja na konkretne lokacije ili odbiti neželjenje korisnike. 

Na prvi pogled ova funkcija sistema izgleda veoma bezopasno ali nije tako.
Ljudi koji se bave internet prevarama bas i traže ovakve prilike da bi
iskoristili naivne korisnike. Zamislite sledecu situaciju, imamo web lokaciju
http://www.primer.tld i na njoj možemo kupiti diskove nase omiljene grupe. Na
ovoj web lokaciji postoji link koji vodi na web lokaciju grupe čiji disk
želimo da kupimo ali nije direktan link već se koristi redirekcija:
http://www.primer.tld/idi_na.php?lokacija=www.omiljenagrupa.tld. Odlično,
kliknemo na link i idemo na web lokaciju nase omiljene grupe a vlasnik sajta
može da ažurira svoje statističke podatke. I sve ovo ne bi bio problem, kada
bi se implementirale odredjene sigurnosne zastite koje bi sprečile zlonamerne
korisnike da proslede naivnim korisnicima sledeći link:
http://www.primer.tld/idi_na.php?lokacija=www.zlonamernisajt.tld. 

U konretnom slučaju, napadač ima pregrst opcija da dodatno zavara korisnika,
maskiranjem linkova,  pravljenjem klona web lokacije, itd ... sto na kraju može
da dovede do ogromne materijalne stete samog korisnika jednog naizgled
bezopasnog sajta. 

Do skoro je Google imao velikih problema sa ovom vrstom napada i resio je to
tako sto je prilikom svake redirekcije uveo dodatnu stranicu koja obavestava
korisnika da će biti upućen na odredjenu eksternu web lokaciju. Ovo je ujedno
i najelegantnije resenje ali često se desava da korisnik jednostavno ne obraća
pažnju na poruku i ono sto pise u njoj. Postoje i druga resenja poput provere
odredjenih parametara HTTP zahteva ali ti zahtevi su veoma podložni lažiranju,
jos jedno resenje je da svaki eksterni link držite u odredjenoj bazi podataka i
da se prilikom svakog poziva skripte za redirekciju uporedjuju ti podaci. Svako
resenje ima svoje prednosti i mane ali predlažem da se implementira bar jedno. 

Na mom blogu možete pronaći skorasnje zapise o pronalasku ovih propusta na
web lokacijama u regionu. Takodje, želim da skrenem pažnju korisnicima da
obrate malo vise pažnje na linkove koje prate jer mogu postati žrtva svoje
nemarnosti. Obratite vise pažnje prilikom praćenja linkova koji su obradjeni
nekim servisom za redirekciju poput TinyURL.com, i posebno na reklamne flesh
banere koji imaju opciju za redirektovanje, sto je čest slučaj kod ovog tipa
reklamiranja.