搜狐漏洞:濫用開放重定向網址

 

http://adc.go.sohu.com/200611/741baec86589cceadff14d3a2a1531d0.php?url=http://www.sohu.com.XXXXXX.cn

上面這個網址,一般情況下普通網民看到會怎麼想?

 

估計一般就會認爲這是sohu的頁面或是與sohu有業務關係的吧?點開之後就會發現導航到了一個很“傳統”的以騙取短信費模式的網站,而且這個網站做了泛域名解析,實際的域名是XXXXXX.cn,可以在任意一個whois網站查到域名所有人,與sohu一點關係都沒有。

 

可以試驗一下,把http://www.sohu.com.XXXXXX.cn改成其他任何網址,都會自動跳轉過去的。所以,這是一個漏洞。當一個漏洞被居心不良的人知道,就會出現一個騙局。 

 

搜狐在這個騙局中是什麼角色呢?僅僅是受害者嗎?恐怕不是。應該說是技術的漏洞導致了“爲虎作倀”的後果——如果“搜狐網絡營銷中心”(http://adc.go.sohu.com/)能夠注意檢查使用自己轉向功能的域名,恐怕不會出現此漏洞。

 

某種意義上說,這個漏洞是對sohu有利的:搜狐可以把利用此頁面轉向的所有帳都記到客戶身上,最終結果是使用搜狐網絡營銷的客戶爲騙子的推廣買單。

 

但是從法律上來說,sohu是難逃干係的,對客戶他有未盡義務和欺詐的嫌疑,對普通網民的受害者他有連帶責任。這就像以前一家公司:由於看管不嚴,騙子竟然在這家公司的會客室裏行騙得手,最後法院判其負連帶責任。所以sohu如果不注意,早晚要爲這個漏洞付出代價。

 

看來這個事情靠自律不夠了,需要行政力量配合。

 

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章