Open-Redirect-URLs: Wird Ihre Website missbraucht?

Samstag, 31. Januar 2009

Niemand möchte Malware oder Spam-URLs auf seiner Domain, weshalb wir alle versuchen, Folgendes zu befolgen:
gute Sicherheitspraktiken.
Aber was wäre, wenn es einen Weg gäbe, wie Spamer Ihre Website ausnutzen könnten, ohne jemals einen
virtuellen Fuß in Ihren Server zu setzen? Den gibt es, und zwar durch den Missbrauch von Open-Redirect-URLs.

Webmaster stehen vor einer Reihe von Situationen, in denen es nützlich ist, Nutzer auf eine andere Seite umzuleiten.
Leider können Umleitungen, die für beliebige Ziele offen gelassen werden, missbraucht werden. Dies ist eine
besonders schwerwiegende Form des Missbrauchs, da sie die Funktionalität Ihrer Website ausnutzt,
anstatt einfach einen Bug oder eine Sicherheitslücke auszunutzen. Spammer hoffen, Ihre Domain als temporäre
„Landing Page“ zu nutzen, um E-Mail-Nutzer, Suchende und Suchmaschinen dazu zu bringen, Links zu folgen,
die zwar anscheinend auf Ihre Website verweisen, in Wirklichkeit aber auf ihre Spam-Website weiterleiten.

Wir bei Google arbeiten hart daran, missbrauchte URLs aus unserem Index herauszuhalten, aber es ist wichtig, dass Sie
sicherstellen, dass Ihre Website nicht auf diese Weise genutzt wird. Die Chancen stehen gut, dass Sie nicht möchten, dass Nutzer
auf Ihrer Domain URLs finden, die sie zu einem Bildschirm voller unerwünschter Pornos, böser Viren und Malware
oder Phishing-Versuchen führen. Spammer generieren Links, damit die Weiterleitungen in den Suchergebnissen erscheinen,
und diese Links stammen tendenziell aus schlechten Nachbarschaften, mit denen Sie nicht in Verbindung gebracht werden möchten.

Diese Art von Missbrauch ist in letzter Zeit relativ häufig geworden, daher wollten wir Sie und
Ihre Webmaster-Kollegen informieren. Zuerst geben wir einige Beispiele für Weiterleitungen, die aktiv
missbraucht werden, und sprechen dann darüber, wie Sie herausfinden können, ob Ihre Website missbraucht wird und was Sie dagegen tun können.

Von Spammern missbrauchte Weiterleitungen

Wir haben festgestellt, dass Spammer eine Vielzahl von Websites ins Visier nehmen, von großen, bekannten Unternehmen bis hin
zu kleinen lokalen Behörden. Die folgende Liste ist ein Auszug aus den Arten von Weiterleitungen, die wir bereits im Einsatz gesehen haben.
Dies sind alles völlig legitime Techniken, aber wenn sie auf Ihrer Website verwendet werden, sollten Sie auf Missbrauch achten.

• Skripte, die Nutzer auf eine Datei auf dem Server umleiten—wie zum Beispiel ein PDF-Dokument—können manchmal
  anfällig sein. Wenn Sie ein Content-Management-System (CMS) verwenden, mit dem Sie Dateien hochladen können,
  sollten Sie sicherstellen, dass die Links direkt zur Datei führen, anstatt über eine
  Umleitung zu gehen. Dies schließt alle Weiterleitungen ein, die Sie möglicherweise im Download-Bereich Ihrer Website haben.
  Achten Sie auf Links wie diesen:
  example.com/go.php?url=example.com/ie/ie40/download/
• Interne Websuchergebnisseiten haben manchmal automatische Weiterleitungsoptionen, die anfällig sein könnten.
  Achten Sie auf Muster wie dieses, bei denen Nutzer automatisch an jede beliebige Seite nach dem url= Parameter gesendet werden:
  example.com/search?q=user+search+keywords&url=
• Systeme zur Klickverfolgung für Partnerprogramme, Werbeprogramme oder Website-Statistiken sind möglicherweise ebenfalls offen. Einige Beispiel-URLs sind:
• Proxysites, obwohl sie technisch gesehen nicht immer Weiterleitungen sind, leiten Nutzer an andere Websites weiter und können daher für diesen Missbrauch anfällig sein. Dazu gehören auch solche, die von Schulen und Bibliotheken genutzt werden. Zum Beispiel:
  proxy.example.com/?url=
• In einigen Fällen leiten Anmeldeseiten Nutzer auf die Seite zurück, auf die sie zugreifen wollten. Achten Sie auf URL-Parameter wie diesen:
  example.com/login?url=
• Skripte, die eine Interstitielle Seite anzeigen, wenn Nutzer eine Website verlassen , können missbraucht werden. Viele Bildungs-, Regierungs- und große Unternehmenswebsites tun dies, um
  Nutzer darüber zu informieren, dass Informationen auf ausgehenden Links nicht unter ihrer Kontrolle stehen.
  Achten Sie auf URLs, die solchen Mustern folgen:

Wird meine Website missbraucht?

Selbst wenn Ihnen keines der obigen Muster bekannt vorkommt, verfügt Ihre Website möglicherweise über offene Weiterleitungen, die Sie im Auge behalten sollten.
Es gibt eine Reihe von Möglichkeiten, um festzustellen, ob Sie anfällig sind, selbst wenn Sie selbst kein Entwickler sind.

• Prüfen Sie, ob missbrauchte URLs in Google auftauchen. Versuchen Sie eine
  site: Suche
  auf Ihrer Website, um zu sehen, ob in den Google-Ergebnissen für Ihre Website etwas Unbekanntes auftaucht.
  Sie können der Abfrage Wörter hinzufügen, die in Ihren Inhalten unwahrscheinlich vorkommen, wie etwa kommerzielle Begriffe oder
  nicht jugendfreie Sprache. Wenn die Abfrage [site:example.com viagra] keine Seiten auf Ihrer Website zurückgeben
  sollte und dies dennoch tut, könnte das ein Problem sein. Sie können diese Suchen sogar automatisieren mit
  Google Alerts.
• Sie können auch nach seltsamen Suchanfragen Ausschau halten, die im Bereich
  Top-Suchanfragen
  der Webmaster-Tools angezeigt werden. Wenn Sie eine Website betreiben, die der Genealogie des Landadls gewidmet ist,
  könnte eine große Anzahl von Suchanfragen nach Pornos, Pillen oder Casinos ein Warnsignal sein. Wenn Sie hingegen
  eine Website mit medizinischen Informationen betreiben, erwarten Sie vielleicht keine Prominenten unter Ihren Top-Suchanfragen.
  Behalten Sie das Nachrichtencenter in den Webmaster-Tools im Auge, um Nachrichten von Google zu erhalten.
• Überprüfen Sie Ihre Server-Protokolle oder Ihr Webanalytik-Paket auf unbekannte URL-Parameter (wie
  =http: oder =//) oder auf Traffic-Spitzen bei Weiterleitungs-URLs auf Ihrer Website.
  Sie können auch die Seiten mit externen Links in den Webmaster-Tools überprüfen.
• Achten Sie auf Beschwerden von Nutzern über Inhalte oder Malware, von denen Sie mit Sicherheit wissen, dass sie nicht auf Ihrer Website zu finden sind.
  Ihre Nutzer haben möglicherweise Ihre Domain in der URL gesehen, bevor sie umgeleitet wurden, und angenommen, sie befänden sich immer noch auf Ihrer Website.

Was Sie tun können

Leider gibt es keinen einfachen Weg, um sicherzustellen, dass Ihre Weiterleitungen nicht ausgenutzt werden.
Eine offene Weiterleitung ist an sich kein Bug oder eine Sicherheitslücke – für einige Verwendungszwecke müssen sie ziemlich offen bleiben.
Aber es gibt ein paar Dinge, die Sie tun können, um zu verhindern, dass Ihre Weiterleitungen missbraucht werden, oder sie zumindest zu weniger attraktiven Zielen zu machen.
Einiges davon ist nicht trivial; Sie müssen möglicherweise etwas eigenen Code schreiben oder mit Ihrem Anbieter über die Veröffentlichung eines Patches sprechen.

• Ändern Sie den Weiterleitungscode, um den Referer zu überprüfen, da in den meisten Fällen jeder, der legitim zu Ihrem Weiterleitungsskript kommt, von Ihrer Website kommen sollte, nicht von einer Suchmaschine oder anderswoher.
  Möglicherweise müssen Sie nachsichtig sein, da die Browser einiger Nutzer keinen Referer melden, aber wenn Sie wissen, dass ein Nutzer von einer externen Website kommt, können Sie ihn stoppen oder warnen.
• Wenn Ihr Skript Nutzer nur jemals auf eine interne Seite oder Datei senden soll (zum Beispiel auf einer Seite mit Dateidownloads), sollten Sie Weiterleitungen außerhalb der Website ausdrücklich verbieten.
• Erwägen Sie die Verwendung einer Allowlist sicherer Ziele. In diesem Fall würde Ihr Code alle ausgehenden Links aufzeichnen und dann überprüfen, ob die Weiterleitung ein legitimes Ziel ist, bevor der Nutzer weitergeleitet wird.
• Erwägen Sie das Signieren Ihrer Weiterleitungen, Wenn Ihre Website tatsächlich URLs umleiten muss, können Sie
  die Ziel-URL ordnungsgemäß hashen
  und diese kryptografische Signatur dann als weiteren Parameter bei der Weiterleitung einfügen.
  Dadurch kann Ihre eigene Website eine URL-Weiterleitung durchführen, ohne Ihren URL-Weiterleiter der breiten Öffentlichkeit zugänglich zu machen.
• Wenn Ihre Website diese wirklich nicht nutzt, sollten Sie sie einfach deaktivieren oder entfernen. Wir haben eine große Anzahl von Websites festgestellt, bei denen die Weiterleitung ausschließlich von Spammern genutzt wird – sie ist wahrscheinlich nur eine standardmäßig eingeschaltete Funktion.
• Verwenden Sie robots.txt um Suchmaschinen auszuschließen
  von den Weiterleitungsskripten auf Ihrer Website. Dies wird das Problem nicht vollständig lösen, da Angreifer
  Ihre Domain immer noch in E-Mail-Spam verwenden könnten. Ihre Website wird für Angreifer jedoch weniger attraktiv,
  und Nutzer werden nicht über Websuchergebnisse reingelegt. Wenn sich Ihre Weiterleitungsskripte in einem Unterordner
  mit anderen Skripten befinden, die nicht in den Suchergebnissen erscheinen müssen, kann das Ausschließen des gesamten Unterordners
  es Spammern sogar noch schwerer machen, Weiterleitungsskripte überhaupt zu finden.
• Sie können auch Webmaster-Tools verwenden, um
  URLs zu entfernen. Es ist gut möglich, dass die Spammer auch andere Websites gehackt und missbraucht haben, um Links zu dem zugespammten Bereich Ihrer Website zu generieren.
  Wenn Sie verdächtige Websites oder
  zugespammte Foren
  sehen, die verlinken, können Sie
  diese an uns melden,
  vorzugsweise mit dem
  verifizierten Spam-Meldeformular in den Webmaster-Tools.

Der Missbrauch offener Weiterleitungen ist derzeit ein großes Problem, aber wir glauben, dass Webmaster umso mehr darüber wissen,
je schwerer es die Bösen haben, unvorsichtige Websites auszunutzen. Bitte hinterlassen Sie hilfreiche Tipps in den Kommentaren unten oder diskutieren Sie in unserem
Webmaster Help Forum.

Geschrieben von Jason Morrison, Search Quality Team