Uno de los problemas que pueden surgir se da cuando necesitamos redirigir a los usuarios hacia otra página.  Esa redirección puede dejar abiertas la puertas para que un hacker se  aproveche y utilize nuestro dominio para engañar a los visitantes y redirediccionarlos a sitios de spam, porno, virus, malware u otros por el estilo.

Según el blog de Google ellos tratan de mantener esas URL’ fuera de su indice, pero nos aconsejan a nosotros asegurarnos de que nuestro sitio no sea utilizado de esa manera.

Google nos informa sobre algunas de las técnicas utilizadas por los hackers para realizar los redireccionamientos que debemos de tener en cuenta  y a continuación se las describo:

Scripts que redireccionan a un archivo en el server: Debemos estar seguros de que el enlace redireccione directamente al archivo y no tener enlaces del siguiente tipo:

example.com/go.php?url=
example.com/ie/ie40/download/?

• Redirecciones que llevan los resultados de búsquedas a páginas internas:  ver por enlaces que envían a los usuarios a otras páginas después del parámetro “url=”.

example.com/search?q=user+search+keywords&url=

• Sistemas que contabilizan los clicks en los progrmas de afiliados, programas de ads o systemas de estadísticas:

example.com/coupon.jsp?code=ABCDEF&url=
example.com/cs.html?url=

• Sitios con Servidores Proxy: Aunque técnicamente no siempre redirecciona, algunos sitios pueden ser vulnerables, especialmente aquellos sitios que utilizan las escuelas, universidades y bibliotecas.

proxy.example.com/?url=

• Páginas de login: en algunos casos trata de redireccionar hacia la p[agina que el usuario trató de acceder en primer término.

example.com/login?url=

• Scripts que redireccionan a una página cuando el visitante trata de alejarse del sitio e ir a otra web: esto sucede en sitios del gobierno, educacionales y en algunos sitios de empresas grandes.

example.com/redirect/
example.com/out?
example.com/cgi-bin/redirect.cgi?

Igualmente, aunque ninguno de los ejemplos anteriores aparezcan en nuestro blog, puede ser que el mismo tenga vulnerabilidades de este tipo y para comprobarlo, Google nos dice como, además de indicarnos algunas herramientas de ellos que nos pueden llegar a ayudar:

• Podemos ver si sucede algo fuera de lo normal si aparecen largas queries sobre porno, cacinos, pildoras y cosas por el estilo utilizando el servicio Top search queries de la sección Webmaster Tools de Google.  También tenemos que estar atentos a recibir algún mensaje de Google en The Message Center en Webmaster Tools. que nos indique sobre alguna anormalidad.

• Verificar los logs de nuestro server o web analytics por parámetros de URL’s que no sean familiares a nuestro blog, como por ejemplo: “=http:” o “=//”.  También puede resultar sospechoso un aumento considerado de visitas de un día a otro.  También se pueden controlar la páginas con enlaces externos en Webmaster Tools.

Como bien nos explica Google, no existe una forma efectiva de saber en forma totalmente segura de que una URL de nuestro sitio no está siendo explotada.  Algunas formas de evitarlo son las siguientes, aunque en algunos casos no sea facil realizarlo y deberán utilizar los servicios de algún programador:

• Cambiar el código de redirección para que verifique al referenciador.

• Si el script de tu sitio solo envía usuarios a una página interna del mismo o apunta a un fichero, deberán prohibir redirecciones fuera del sitio.

• Usar listas blancas de sitios conocidos o sea, toda redirección se verificará contra una lista de sitios permitidos.

• Considerar encriptar las redirecciones utilizando firmas digitales como parámetro.
• Si tu sitio no usa redirecciones entonces desabilitar o remover la redirección.

• Usar robots.txt para excluir los motores de búsqueda de los scripts de redirecciones de tu blog.

• Usar Webmaster Tools para remover URLs.
• Si verificamos que alguien esta abusando de redirecciones en nuestro blog, denunciarlo a Google desde Webmaster Tools

Como ven, las soluciones no son fáciles en algunos casos, pero descubriendo a los hackers nos puede ayudar mucho y de última, si es que no podemos aplicar cambios al código, la denuncia es un arma poderosa.

Enlace: Open redirect URLs: Is your site being abused?

Gracias a Adseok