URLs de redirección abierta: ¿Está siendo abusado su sitio?

Sábado, 31 de enero de 2009

Nadie quiere que se inserten malware o URLs de spam en su dominio, por lo que todos intentamos seguir
buenas prácticas de seguridad.
Pero, ¿y si hubiera una forma de que los spammers se aprovecharan de su sitio sin poner nunca
un pie virtual en su servidor? La hay, mediante el abuso de URLs de redirección abierta.

Los webmasters se enfrentan a numerosas situaciones en las que es útil redirigir a los usuarios a otra página.
Desafortunadamente, las redirecciones dejadas abiertas a cualquier destino arbitrario pueden ser abusadas. Esta es una
forma de abuso particularmente onerosa porque aprovecha la funcionalidad de su sitio en lugar
de explotar un simple error o fallo de seguridad. Los spammers esperan usar su dominio como una “página de aterrizaje” temporal
para engañar a los usuarios de correo electrónico, buscadores y motores de búsqueda para que sigan enlaces que
parecen apuntar a su sitio, pero que en realidad redirigen a su sitio de spam.

En Google trabajamos duro para mantener las URLs abusadas fuera de nuestro índice, pero es importante que se
asegure de que su sitio no se está utilizando de esta manera. Lo más probable es que no quiera que los usuarios encuentren
en su dominio URLs que los lleven a una pantalla llena de porno no deseado, virus desagradables y malware,
o intentos de phishing. Los spammers generarán enlaces para que las redirecciones aparezcan en los resultados de búsqueda,
y estos enlaces tienden a provenir de malos vecindarios con los que no desea ser asociado.

Este tipo de abuso se ha vuelto relativamente común últimamente, por lo que queríamos informar a usted y
a sus colegas webmasters. Primero daremos algunos ejemplos de redirecciones de las que se está abusando activamente,
luego hablaremos de cómo averiguar si su sitio está siendo abusado y qué hacer al respecto.

Redirecciones abusadas por spammers

Hemos notado que los spammers persiguen una amplia gama de sitios web, desde grandes empresas conocidas hasta
pequeñas agencias gubernamentales locales. La siguiente lista es una muestra de los tipos de redirección que hemos visto utilizar.
Todas estas son técnicas perfectamente legítimas, pero si se usan en su sitio, debe vigilar el abuso.

• Scripts que redirigen a los usuarios a un archivo en el servidor—como un documento PDF—a veces pueden
  ser vulnerables. Si utiliza un sistema de gestión de contenido (CMS) que le permite subir archivos,
  es posible que desee asegurarse de que los enlaces vayan directamente al archivo, en lugar de pasar por
  una redirección. Esto incluye cualquier redirección que pueda tener en la sección de descargas de su sitio.
  Cuidado con enlaces como este:
  example.com/go.php?url=example.com/ie/ie40/download/
• Páginas de resultados de búsqueda interna del sitio a veces tienen opciones de redirección automática que podrían
  ser vulnerables. Busque patrones como este, donde los usuarios son enviados automáticamente a cualquier página después del url= parámetro:
  example.com/search?q=user+search+keywords&url=
• Sistemas para rastrear clics para programas de afiliados, programas de anuncios o estadísticas del sitio también pueden estar abiertos. Algunas URLs de ejemplo incluyen:
• Sitios proxy, aunque técnicamente no siempre son redirecciones, están diseñados para enviar a los usuarios a otros sitios y, por lo tanto, pueden ser vulnerables a este abuso. Esto incluye los utilizados por escuelas y bibliotecas. Por ejemplo:
  proxy.example.com/?url=
• En algunos casos, las páginas de inicio de sesión redirigirán a los usuarios de vuelta a la página a la que intentaban acceder. Esté atento a los parámetros de URL como este:
  example.com/login?url=
• Scripts que muestran una página intersticial cuando los usuarios abandonan un sitio , pueden ser abusados. Muchos sitios web educativos, gubernamentales y de grandes corporaciones hacen esto para informar a los usuarios de que
  la información encontrada en los enlaces salientes no está bajo su control. Busque URLs que sigan patrones como este:

¿Está siendo abusado mi sitio?

Incluso si ninguno de los patrones anteriores le resulta familiar, su sitio puede tener redirecciones abiertas a las que prestar atención.
Hay varias maneras de ver si es vulnerable, incluso si usted no es un desarrollador.

• Compruebe si las URLs abusadas aparecen en Google. Pruebe una
  site: búsqueda
  en su sitio para ver si aparece algo desconocido en los resultados de Google para su sitio.
  Puede agregar palabras a la consulta que sea poco probable que aparezcan en su contenido, como términos comerciales o
  lenguaje para adultos. Si la consulta [site:example.com viagra] no debería devolver ninguna página en su sitio y lo hace, eso podría ser un problema.
  Incluso puede automatizar estas búsquedas con
  Google Alerts.
• También puede estar atento a consultas extrañas que aparezcan en la sección
  Principales consultas de búsqueda
  de Herramientas para webmasters. Si tiene un sitio dedicado a la genealogía de la nobleza titulada,
  una gran cantidad de consultas sobre porno, pastillas o casinos podría ser una señal de alarma. Por otro lado, si
  tiene un sitio de información sobre medicamentos, es posible que no espere ver celebridades en sus principales consultas.
  Vigile el Centro de mensajes en Herramientas para webmasters para ver cualquier mensaje de Google.
• Revise los registros de su servidor o paquete de análisis web en busca de parámetros de URL desconocidos (como
  =http: o =//) o picos de tráfico en las URLs de redirección de su sitio.
  También puede consultar las páginas con enlaces externos en Herramientas para webmasters.
• Esté atento a las quejas de los usuarios sobre contenido o malware que sabe con certeza que no se pueden encontrar
  en su sitio. Es posible que sus usuarios hayan visto su dominio en la URL antes de ser redirigidos y
  hayan asumido que todavía estaban en su sitio.

Qué puede hacer

Desafortunadamente, no existe una manera fácil de asegurarse de que sus redirecciones no sean explotadas.
Una redirección abierta no es un error o fallo de seguridad en sí mismo; para algunos usos tienen que dejarse bastante abiertas.
Pero hay algunas cosas que puede hacer para evitar que sus redirecciones sean abusadas o al menos para hacerlas objetivos menos atractivos.
Algunas de estas no son triviales; es posible que deba escribir algo de código personalizado o hablar con su proveedor sobre el lanzamiento de un parche.

• Cambie el código de redirección para comprobar el referer, ya que en la mayoría de los casos todos los que llegan a su script de redirección legítimamente deben provenir de su sitio, no de un motor de búsqueda o de otro lugar.
  Es posible que deba ser permisivo, ya que los navegadores de algunos usuarios pueden no informar un referer, pero si sabe que un usuario proviene de un sitio externo, puede detenerlo o advertirle.
• Si su script solo debe enviar a los usuarios a una página o archivo interno (por ejemplo, en una página
  con descargas de archivos), debe desactivar específicamente las redirecciones fuera del sitio.
• Considere usar una allowlist de destinos seguros. En este caso, su código mantendría un registro de todos los enlaces salientes y luego verificaría que la redirección sea un destino legítimo antes de reenviar al usuario.
• Considere firmar sus redirecciones, si su sitio web tiene una necesidad genuina de proporcionar redirecciones de URLs, puede
  hashear adecuadamente
  la URL de destino y luego incluir esa firma criptográfica como otro parámetro al
  hacer la redirección. Eso permite que su propio sitio realice la redirección de URLs sin abrir su
  redireccionador de URLs al público en general.
• Si su sitio realmente no lo está usando, simplemente deshabilite o elimine la redirección. Hemos notado una gran cantidad de sitios donde el único uso de la redirección es por parte de los spammers; probablemente sea solo una característica que se dejó activada por defecto.
• Use robots.txt para excluir a los motores de búsqueda
  de los scripts de redirección en su sitio. Esto no resolverá el problema por completo, ya que los atacantes
  aún podrían usar su dominio en correo no deseado. Sin embargo, su sitio será menos atractivo para los atacantes,
  y los usuarios no serán engañados a través de los resultados de búsqueda web. Si sus scripts de redirección residen en
  una subcarpeta con otros scripts que no necesitan aparecer en los resultados de búsqueda, excluir toda la
  subcarpeta puede incluso dificultar que los spammers encuentren scripts de redirección en primer lugar.
• También puede usar Herramientas para webmasters para
  eliminar URLs. Es probable que los spammers también hayan hackeado y abusado de otros sitios para generar enlaces a la sección
  con spam de su sitio. Si ve sitios sospechosos o
  foros con spam
  enlazando, puede
  reportárnoslos,
  preferiblemente con el
  formulario de reporte de spam verificado en Herramientas para webmasters.

El abuso de redirección abierta es un gran problema en este momento, pero creemos que cuantos más webmasters lo sepan,
más difícil será para los malos aprovecharse de los sitios desprevenidos. Por favor, puede dejar cualquier consejo útil en los comentarios a continuación o debatir en nuestro
Webmaster Help Forum.

Escrito por Jason Morrison, Search Quality Team