URL открытого редиректа: подвергается ли ваш сайт злоупотреблениям?

Суббота, 31 января 2009 г.

Никто не хочет, чтобы на его домен добавлялись вредоносные программы или спам-ссылки, поэтому мы все стараемся соблюдать
лучшие практики безопасности.
Но что, если бы существовал способ для спамеров воспользоваться вашим сайтом, ни разу не ступив
виртуальной ногой на ваш сервер? Такой способ есть, благодаря злоупотреблению URL открытого редиректа.

Веб-мастера сталкиваются с множеством ситуаций, когда полезно перенаправить пользователей на другую страницу.
К сожалению, редиректы, оставленные открытыми для любого произвольного назначения, могут быть использованы злоумышленниками. Это
особенно неприятная форма злоупотребления, так как она использует функциональность вашего сайта, а
не эксплуатирует простую ошибку или уязвимость в системе безопасности. Спамеры надеются использовать ваш домен в качестве временной «целевой страницы»,
чтобы обмануть пользователей электронной почты, пользователей поисковых систем и сами поисковые системы, заставив их перейти по ссылкам,
которые кажутся ведущими на ваш сайт, но на самом деле перенаправляют на их спам-сайт.

Мы в Google упорно работаем над тем, чтобы исключить злонамеренные URL из нашего индекса, но для вас важно
убедиться, что ваш сайт не используется подобным образом. Скорее всего, вы не хотите, чтобы пользователи находили
на вашем домене URL, которые перенаправляют их на экран, полный нежелательного порно, неприятных вирусов и вредоносного ПО,
или фишинговых попыток. Спамеры будут генерировать ссылки, чтобы редиректы появлялись в результатах поиска,
и эти ссылки, как правило, исходят из неблагонадежных источников, с которыми вы не хотите быть связаны.

Такого рода злоупотребления в последнее время стали относительно распространенными, поэтому мы хотели донести эту информацию до вас и
ваших коллег веб-мастеров. Сначала мы приведем несколько примеров редиректоров, которые активно используются
злоумышленниками, а затем поговорим о том, как узнать, подвергается ли ваш сайт злоупотреблениям и что с этим делать.

Редиректы, используемые спамерами в корыстных целях

Мы заметили, что спамеры преследуют самые разные веб-сайты: от крупных известных компаний до
небольших местных правительственных агентств. Список ниже представляет собой выборку типов редиректов, которые мы наблюдали в использовании.
Все это абсолютно легитимные методы, но если они применяются на вашем сайте, вам следует следить за возможными злоупотреблениями.

• Скрипты, которые перенаправляют пользователей на файл на сервере—например, на PDF-документ—иногда могут
  быть уязвимы. Если вы используете систему управления контентом (CMS), которая позволяет загружать файлы,
  возможно, вы захотите убедиться, что ссылки ведут прямо на файл, а не проходят через
  редирект. Это касается и любых редиректов, которые могут быть в разделе загрузок вашего сайта.
  Остерегайтесь таких ссылок:
  example.com/go.php?url=example.com/ie/ie40/download/
• Страницы результатов внутреннего поиска по сайту иногда имеют параметры автоматического перенаправления, которые могут
  быть уязвимы. Ищите такие шаблоны, где пользователи автоматически отправляются на любую страницу после url= параметра:
  example.com/search?q=user+search+keywords&url=
• Системы для отслеживания кликов в партнерских программах, рекламных программах или для статистики сайта также могут быть уязвимы. Примеры таких URL:
• Прокси-сайты, хотя технически не всегда являющиеся редиректами, предназначены для перенаправления пользователей на другие сайты и поэтому могут быть уязвимы для подобных злоупотреблений. К ним относятся сайты, используемые школами и библиотеками. Например:
  proxy.example.com/?url=
• В некоторых случаях страницы входа перенаправляют пользователей обратно на страницу, которую они пытались посетить. Обратите внимание на такие параметры URL:
  example.com/login?url=
• Скрипты, отображающие промежуточную страницу при уходе пользователей с сайта , могут быть использованы злоумышленниками. Многие образовательные, правительственные и крупные корпоративные веб-сайты делают это, чтобы предупредить пользователей о том,
  что информация на исходящих ссылках не находится под их контролем. Ищите URL, следующие таким шаблонам:

Подвергается ли мой сайт злоупотреблениям?

Даже если ни один из приведенных выше шаблонов вам не знаком, на вашем сайте могут быть открытые редиректы, за которыми стоит понаблюдать.
Существует множество способов проверить уязвимость, даже если вы не являетесь разработчиком.

• Проверьте, появляются ли злонамеренные URL в Google. Попробуйте выполнить
  site: поиск
  по вашему сайту, чтобы узнать, не появилось ли в результатах Google по вашему сайту что-то незнакомое.
  Вы можете добавить к запросу слова, которые вряд ли появятся в вашем контенте, например коммерческие термины или
  контент для взрослых. Если запрос [site:example.com viagra] не должен возвращать никаких страниц на вашем сайте, но возвращает, это может быть проблемой.
  Вы даже можете автоматизировать эти поисковые запросы с помощью
  Google Alerts.
• Вы также можете следить за странными поисковыми запросами, появляющимися в разделе
  Популярные поисковые запросы
  в Инструментах для веб-мастеров. Если у вас сайт, посвященный генеалогии земельной знати,
  большое количество запросов про порно, таблетки или казино может стать тревожным сигналом. С другой стороны, если
  у вас сайт с информацией о лекарствах, вы вряд ли ожидать увидеть знаменитостей в своих главных запросах.
  Следите за Центром сообщений в Инструментах для веб-мастеров на предмет любых сообщений от Google.
• Проверьте логи вашего сервера или пакет веб-аналитики на наличие незнакомых параметров URL (например,
  =http: или =//) или всплесков трафика на URL редиректов на вашем сайте.
  Вы также можете проверить страницы с внешними ссылками в Инструментах для веб-мастеров.
• Остерегайтесь жалоб пользователей на контент или вредоносное ПО, которых, как вы точно знаете, нет на вашем сайте.
  Ваши пользователи могли увидеть ваш домен в URL перед перенаправлением и решить, что они все еще находятся на вашем сайте.

Что вы можете сделать

К сожалению, не существует какого-то одного простого способа убедиться, что ваши редиректы не используются злоумышленниками.
Открытый редирект сам по себе не является ошибкой или уязвимостью в безопасности — для некоторых целей они должны оставаться достаточно открытыми.
Но есть несколько вещей, которые вы можете сделать, чтобы предотвратить злоупотребление вашими редиректами или по крайней мере сделать их менее привлекательными мишенями.
Некоторые из них непросты; возможно, вам придется написать собственный код или поговорить с вашим вендором о выпуске патча.

• Измените код редиректа для проверки referer, поскольку в большинстве случаев каждый, кто приходит на ваш скрипт редиректа легитимным образом, должен приходить с вашего сайта, а не из поисковой системы или откуда-то еще.
  Возможно, вам придется сделать это условие мягче, так как браузеры некоторых пользователей могут не передавать referer, но если вы знаете, что пользователь пришел с внешнего сайта, вы можете остановить его или предупредить.
• Если ваш скрипт должен отправлять пользователей только на внутреннюю страницу или файл (например, на странице
  со скачиванием файлов), вам следует специально запретить перенаправления на сторонние сайты.
• Подумайте об использовании allowlist безопасных мест назначения. В этом случае ваш код будет вести учет всех исходящих ссылок, а затем проверять, является ли редирект легитимным пунктом назначения, прежде чем перенаправлять пользователя.
• Подумайте о подписи ваших редиректов, Если вашему веб-сайту действительно необходимо обеспечить перенаправление URL, вы можете
  вычислить хэш
  целевого URL должным образом, а затем включить эту криптографическую подпись в качестве еще одного параметра при
  выполнении редиректа. Это позволяет вашему собственному сайту осуществлять перенаправление URL, не открывая ваш
  редиректор URL для широкой общественности.
• Если ваш сайт действительно им не пользуется, просто отключите или удалите редирект. Мы заметили множество сайтов, где единственным назначением редиректа является использование спамерами — вероятно, это просто функция, оставленная включенной по умолчанию.
• Используйте robots.txt чтобы исключить поисковые системы
  из скриптов редиректа на вашем сайте. Это не решит проблему полностью, так как злоумышленники
  все равно могут использовать ваш домен в спам-рассылках. Однако ваш сайт станет менее привлекательным для злоумышленников,
  и пользователи не попадутся на удочку через результаты веб-поиска. Если ваши скрипты редиректа находятся
  в подпапке с другими скриптами, которым не нужно появляться в результатах поиска, исключение всей
  подпапки может даже усложнить спамерам поиск скриптов редиректа в первую очередь.
• Вы также можете использовать Инструменты для веб-мастеров, чтобы
  удалить URL. Вполне вероятно, что спамеры также взломали и использовали другие сайты для создания ссылок на заспамленный раздел вашего сайта.
  Если вы видите подозрительные сайты или
  заспамленные форумы,
  ссылающиеся на вас, вы можете
  сообщить нам об этом,
  предпочтительно с помощью
  проверенной формы сообщения о спаме в Инструментах для веб-мастеров.

Злоупотребление открытым редиректом — большая проблема в настоящее время, но мы считаем, что чем больше веб-мастеров знают о ней,
тем сложнее злоумышленникам будет воспользоваться неосторожными сайтами. Пожалуйста, оставляйте полезные советы в комментариях ниже или обсуждайте их в нашем
Webmaster Help Team.

Автор: Джейсон Моррисон, команда контроля качества поиска