googlewebmastercentral-de: Open-Redirect-URLs: Wird eure Website von Spammern ausgenutzt?

Open-Redirect-URLs: Wird eure Website von Spammern ausgenutzt?

Donnerstag, 5. Februar 2009

Ratschläge zur SicherheitMissbrauch von Open-Redirect-URLsRedirects, die von Spammern missbraucht werden

Scripts, die User zu einer Datei auf dem Server weiterleiten - etwa zu einer pdf-Datei -, können mitunter angreifbar sein. Falls ihr ein Content-Management-System (CMS) einsetzt, das Datei-Uploads erlaubt, solltet ihr sicherstellen, dass der Link direkt zur Datei führt und nicht den Umweg über einen Redirect nimmt. Das beinhaltet auch alle Redirects, die ihr im Download-Bereich eurer Website setzt. Überprüft Links wie die folgenden:

example.com/go.php?url=
example.com/ie/ie40/download/?

Seiten mit internen Suchergebnissen enthalten manchmal automatische Redirect-Optionen, die angreifbar sein könnten. Achtet auf Patterns wie dieses, wo User automatisch zu jeder beliebigen Seite weitergeleitet werden, die hinter dem "url="-Parameter angeführt wird.

example.com/search?q=user+search+keywords&url=

Systeme, die Klicks für Affiliate- oder Werbeprogramme sowie für Websitestatistiken tracken, können ebenfalls offen sein. Einige Beispiel-URLs findet ihr hier:

example.com/coupon.jsp?code=ABCDEF&url=
example.com/cs.html?url=

Proxy-Websites - obwohl nicht immer Redirects im technischen Sinn - zielen darauf ab, Benutzer durch andere Websites zu schicken und sind folglich empfindlich für diese Form von Missbrauch. Dabei sind auch jene, die von Schulen und Bibliotheken verwendet werden, betroffen. Beispielsweise:

proxy.example.com/?url=

In machen Fällen leiten Login-Pages Benutzer zurück zu der Seite, die sie ursprünglich erreichen wollten. Achtet auf URL-Parameter wie den folgenden:

example.com/login?url=

Scripts, die eine Übergangsseite anzeigen, wenn Benutzer die Website verlassen, können ebenfalls missbraucht werden. Viele Websites aus dem Bereich Bildung, Verwaltung oder Websites von großen Unternehmen tun dies, um den Benutzer darauf hinzuweisen, dass die Informationen auf den nachfolgenden Seiten nicht von ihnen stammen. Achtet auf URLs mit Patterns wie diesen:

example.com/redirect/
example.com/out?
example.com/cgi-bin/redirect.cgi?
Wird meine Website missbraucht?

Schaut euch an, ob missbrauchte URLs bei Google angezeigt werden. Versucht eine site: search für eure Website, um festzustellen, ob unbekannte Ergebnisse in den Google-Resultaten auftauchen. Ihr könnt Worte, die kaum dem Content eurer Website entsprechen, der Suche hinzufügen. Falls die Suchanfrage [site:example.com viagra] keine Ergebnisse für eure Website liefern dürfte, dies aber dennoch tut, könnte das auf ein Problem hinweisen. Ihr könnt solche Anfragen sogar mit Google Alerts automatisieren.

Ihr könnt außerdem nach seltsamen Ergebnissen im Bereich Die häufigsten Suchanfragen in den Webmaster-Tools Ausschau halten. Falls eure Website sich mit Ahnenforschung beschäftigt und ein großer Anteil der Suchanfragen von Pornos, Pillen oder Casinos handelt, ist das ein guter Warnhinweis. Andererseits wird eine Website mit Informationen über Medikamente eher selten Promi-Namen in den häufigsten Suchanfragen enthalten. Behaltet das Nachrichten-Center in den Webmaster-Tools im Auge, um Benachrichtigungen von Google nicht zu übersehen.

Überprüft eure Server-Logs oder Web-Analyse-Tools auf ungewöhnliche URL-Parameter (wie "=http:" oder "=//") oder Spikes im Traffic in Bezug auf weiterleitende URLs auf eurer Website. Ihr könnt Seiten mit externen Links auch in den Webmaster-Tools überprüfen.

Achtet auf Benutzerbeschwerden über Inhalte oder Malware, von denen ihr sicher seid, dass sie nicht auf eurer Website vorhanden sind. Eure Benutzer könnten eure Domain in der URL erkannt haben, bevor sie weitergeleitet wurden, und danach annehmen, dass sie noch immer auf eurer Website sind.

Was ihr unternehmen könnt

Ändert den Redirection-Code, um den Referer zu überprüfen, da in den meisten Fällen jeder, der euer Redirection-Script rechtmäßig verwendet, von eurer Site und nicht von einer Suchmaschine oder von woanders kommt. Wahrscheinlich solltet ihr eine gewisse Toleranz beibehalten, da der Browser mancher Benutzer einen Referer eventuell nicht meldet. Falls ihr aber wisst, dass Benutzer von einer externen Website kommt, könnt ihr sie stoppen oder warnen.

Falls euer Script die Benutzer ohnehin nur zu internen Seiten oder Dateien (beispielsweise zu einer Seite für Downloads) führt, solltet ihr Redirects zu externen Websiten explizit ausschließen.

Erwägt den Einsatz einer Whitelist von sicheren Zielen. In diesem Falll würdet ihr alle externen Links auflisten und die Zielwebsite vor der Weiterleitung abgleichen, um sicherzustellen, dass es sich um ein legitimes Ziel handelt.

Erwägt das Verschlüsseln eures Redirects mit einer Signatur. Falls eure Website tatsächlich URL-Redirects benötigt, könnt ihr die Ziel-URL mit einem Hash-Code versehen und dann die kryptographische Signatur dem Redirect als einen weiteren Parameter hinzufügen. Auf diese Weise könnt ihr URL-Redirects auf eurer Site verwenden, ohne diese Möglichkeit für die Allgemeinheit zu öffnen.

Falls Weiterleitungen auf eurer Website ohnehin nicht verwendet werden, schaltet die Redirects ab oder entfernt sie. Wir konnten feststellen, dass eine große Anzahl von Websites existiert, bei denen nur die Spammer die Redirects benutzen - wahrscheinlich ist diese Funktion einfach standardmäßig eingeschaltet.

Verwendet robots.txt, um Suchmaschinen davon abzuhalten, die Redirect-Scripts eurer Website zu lesen. Das schafft zwar das Problem nicht vollständig aus der Welt, weil Spammer immer noch eure Domain für E-Mail-Spam missbrauchen könnten, doch eure Website wird weniger attraktiv für Angreifer, und Benutzer werden nicht durch Suchergebnisse reingelegt. Falls eure Redirection-Scripts in einem Unterverzeichnis untergebracht sind - gemeinsam mit anderen Scripts, die nicht in den Suchresultaten erscheinen müssen - könnte es das Ausklammern des ganzen Unterverzeichnisses für Spammer noch schwerer machen, das Redirection-Script überhaupt erst zu finden.

Ihr könnt auch die Webmaster-Tools benutzen, um URLs zu entfernen. Gut möglich, dass die Spammer auch andere Websites gehackt und missbraucht haben, um Links zum gespammten Bereich eurer Website zu erzeugen. Falls ihr verdächtige Websites oder vollgespammte Foren bemerkt, besteht die Möglichkeit, dies an uns zu melden - am besten über das verifizierte Spamreport-Fomular in den Webmaster-Tools.

Forum für WebmasterOpen redirect URLs: Is your site being abused? (English version)

Webmaster-Zentrale Blog

Open-Redirect-URLs: Wird eure Website von Spammern ausgenutzt?

Keine Kommentare :

Kommentar veröffentlichen

Labels

Archiv

Feed

Google

Producte

Entwickler