Studie: Zahlreiche Webseiten für Open Redirects anfällig

Einer Studie der Universität Indiana zufolge lassen sich zahlreiche Webseiten großer Anbieter von Scammern und Phishern für ihre Zwecke über so genannte Redirects missbrauchen. Von 2,5 Millionen Webseiten ließen sich in mehr als 500.000 Fällen beliebige Ziele als Weiterleitungsziel eintragen. Bei Redirects handelt es sich um Weiterleitung einer Seite zu einer anderen, indem in der URL das Ziel angegeben ist, etwa: http://macdailynews.com/index.php?URL=http://www.heise.de.

Angreifer können auf diese Weise eine URLs einen vertrauten Anstrich verpassen und somit das Opfer zum Klicken auf den Link etwa in einer Mail bewegen. Während heise online als Umleitungsziel keine Gefahr für den Besucher darstellt, kann dies bei www.ichhackdich.de anders aussehen. Auf Besucher könnten dort Exploits für ihren Browser warten, um den Windows-PC zu infizieren, oder Werbeseiten für potenzsteigernde Mittel. Mitte 2006 musste die Postbank ihre Webseite umbauen, um Phishern die Möglichkeit für Umleitungen zu nehmen.

Konkrete Webseiten nennen die Forscher in ihrer Studie nicht. Zuletzt ließen sich aber AOL-Seiten für derlei Angriffe ausnutzen. Unter anderem sollen 82 Prozent der beim Webstatistiker Alexa aufgeführten Seiten für Open Redirects anfällig sein.

Dass so genannte Open Redirects ein Problem darstellen, ist grundsätzlich nicht neu. Die Forscher von der Universität Indiana haben aber eine Methode entwickelt, mit der sich allein anhand einer URL feststellen lässt, ob es sich um einen Link zu einem Open Redirect handelt. Dazu nutzen sie nach eigenen Angaben einen Satz verschiedener Heuristiken. Daneben schlagen sie noch einige Lösungsansätze zum Schutz vor ungewollten Redirects vor.

Siehe dazu auch:

• Exploitable Redirects on the Web: Identification, Prevalence, and Defense, Studie von Craig A. Shue, Andrew J. Kalafut, Minaxi Gupta

(dab)