إعادة التوجيه المفتوحة تجعل روابط التصيد تبدو روابطك

مواقع كثيرة فيها رابط مثل /login?next=… أو /out?url=… يرسل الزائر إلى مكان ما بعد إجراء معين. إن كان يقبل أي عنوان، يستطيع المهاجم إرسال رابط يبدأ بنطاقك الحقيقي وينتهي في صفحة التصيد الخاصة به. ينظر الناس إلى النطاق، فيرونه نطاقك، ويضغطون.

وفلاتر البريد كثيرًا ما تثق به أيضًا، لأن النطاق نظيف.

كيف تصلحه في الكود:

• اسمح فقط بالمسارات النسبية التي تبدأ بـ/ واحدة، وارفض // والشرطات المائلة العكسية.
• إن كان لا بد من التحويل إلى نطاقات أخرى، فاحتفظ بقائمة مسموحة وقارن اسم المضيف بعد تحليله بدقة، لا بـ«يحتوي على».
• والأفضل، مرّر معرّفًا (?next=billing) وحوّله إلى عنوان على الخادم.
• ابحث في الكود وصفحات التسويق القديمة عن نقاط التحويل. روابط التتبع من الحملات القديمة بقايا شائعة.