[スキル名] php-open-redirect-audit

PHP オープンリダイレクト監査（php-open-redirect-audit）

PHP プロジェクトのソースコードを分析し、すべての「ジャンプ/リダイレクト」動作がユーザーによって目的のアドレスを制御される可能性がないかを確認します。これにより、フィッシングや OAuth などのプロセスが乗っ取られるのを防ぎます。

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-REDIR-{連番}

必須のシンク（強制）

以下のジャンプ出力点を特定します。

• header("Location: {value}")
• <meta http-equiv="refresh" content="{value}">
• redirect() / to() / return redirect({value})
• カスタムジャンプ関数（内部で最終的に Location 出力を呼び出すもの）

制御可能性の追跡（必須）

以下の2種類の変数を追跡する必要があります。

1. 目的地のソース：通常、$_GET['next']/$_POST['url']/Referer/return_to から来ます。
2. 目的地の検証：相対パスのみを許可しているか、許可リストを使用しているか、スキーム（http://///）を拒否しているか、ドメインを検証しているか。

回避条件（必須）

潜在的な回避策を特定し、出力する必要があります。

• スキームの回避：//evil.com、http:%2f%2fevil.com
• エンコーディングの回避：二重エンコーディング、URL エンコードされたコロン/スラッシュ
• 末尾/空白文字の回避（古い実装でよく見られます）

レポート出力

{output_path}/vuln_audit/redir_{timestamp}.md

項目テンプレート（強制）

各脆弱性には以下を含める必要があります。

• 位置の証拠：ジャンプ関数の位置 + ルート
• データフローチェーン：ユーザー入力 -> 検証 -> header/redirect
• 悪用可能な前提条件：通常、ログインが必要（ログイン後のリダイレクトの場合）と、攻撃者がパラメータを制御できるかどうか。
• 検証 PoC（実際のルートであること。目的地のパラメータを実際のフィールド名に置き換えること）
• 修正の提案：相対パスのみを許可する + サーバー側の許可リスト + エンコーディング/スキームを正規化して検証する。

証拠の引用（強制：php-route-tracer から）

各オープンリダイレクトの疑いのある脆弱性について、トレース出力の ## 9) Sink Evidence Type Checklist の REDIR 行に対応する証拠の要点を個別に引用する必要があります（ステータスは「検証待ち」でも構いませんが、証拠の引用は必須です）。

1. EVID_REDIR_OUTPUT_POINT：ジャンプ出力点の位置の証拠（header/redirect の最終出力位置）
2. EVID_REDIR_DEST_SOURCE_MAPPING：目的地のソース変数マッピングの証拠（ルートパラメータから目的地変数まで）
3. EVID_REDIR_DEST_VALIDATION_NORMALIZATION：目的地の検証/正規化/許可リスト/スキーム拒否の分岐の証拠（エンコーディング回避処理の分岐を含む）

tracer 証拠の欠落処理（強制）

• 上記 1～3 のいずれかの重要な証拠の要点を特定できない場合：その脆弱性のステータスは ⚠️検証待ち としかマークできず、直接 ✅悪用可能と確認済み とすることはできません。