.Net Framework 4.8 Web Forms开放重定向漏洞修复咨询

仅使用自定义实现的IsLocalUrl做校验仍被Fortify判定为存在漏洞，通常是两类原因导致：一是你当前用的IsLocalUrl实现存在可被绕过的逻辑缺口，二是Fortify的静态数据流分析规则没有追踪到你做的校验动作，需要补充以下校验逻辑，同时调整代码写法适配扫描规则：

• 优先使用框架原生的本地地址校验方法：如果你使用的是.NET Framework 4.5及以上版本的Web Forms项目，不要用第三方或自行编写的IsLocalUrl实现，直接调用Request.IsLocalUrl(url)做判断，官方原生实现覆盖了绝大多数已知的路径绕过场景，且能被Fortify的内置规则正常识别。
• 校验前先做URL标准化处理：校验逻辑第一步先对传入的url做HttpUtility.UrlDecode解码，拦截经过URL编码的恶意路径（比如编码后的双斜杠%2f%2f、协议前缀%68%74%74%70%3a%2f%2f等绕过payload），之后调用VirtualPathUtility.ToAbsolute将相对路径转换为应用根目录下的绝对路径，避免../层级跳转绕过。
• 显式拦截所有跨域特征前缀：不要完全依赖IsLocalUrl的判断结果，额外加一层显式判断，只要url以http://、https://、//、\\、ftp://等跨域/协议前缀开头，直接判定为非法地址，不进入后续跳转逻辑。
• 校验逻辑紧贴跳转语句：不要把校验逻辑封装在多层嵌套的独立工具类、跨项目方法中，Fortify的静态分析对跨多调用栈的校验识别率很低，最好把校验代码写在Response.Redirect调用的相邻位置，校验不通过时直接跳转到预先定义的站内默认地址，不要使用任何用户可控的输入拼接跳转目标。
• 固定跳转目标场景追加白名单校验：如果你的业务跳转目标只有有限的几个站内页面，不要仅依赖本地地址判断，额外维护一个允许跳转的相对路径白名单集合，只有传入url匹配白名单时才放行，这是彻底规避绕过风险、消除扫描误报的最稳妥方案。

可参考以下安全实现代码：

// 预先定义安全的默认跳转地址
const string SafeDefaultPage = "~/Default.aspx";
string targetUrl = Request["returnUrl"];

if (!string.IsNullOrWhiteSpace(targetUrl))
{
    // 先解码、去空白，处理编码绕过场景
    targetUrl = HttpUtility.UrlDecode(targetUrl).Trim();
    
    // 显式拦截所有带跨域前缀的请求
    bool isCrossDomain = targetUrl.StartsWith("http://", StringComparison.OrdinalIgnoreCase)
        || targetUrl.StartsWith("https://", StringComparison.OrdinalIgnoreCase)
        || targetUrl.StartsWith("//", StringComparison.Ordinal)
        || targetUrl.StartsWith(@"\\", StringComparison.Ordinal);
    
    // 同时满足非跨域、是本地地址才允许跳转
    if (!isCrossDomain && Request.IsLocalUrl(targetUrl))
    {
        Response.Redirect(targetUrl);
        return;
    }
}

// 所有非法场景统一跳默认安全地址
Response.Redirect(SafeDefaultPage);

内容的提问来源于stack exchange，提问作者Rushabh Dharia