إعادة التوجيه المفتوحة: عندما يقود رابط حقيقي وموثوق إلى المهاجم

يمرّر المرء المؤشر فوق رابط، فيرى ظهور google.com أو اسم موقع يعرفه جيدًا، فينقر عليه دون تردد. ومع ذلك، ينتهي به المطاف في صفحة تصيد احتيالي. الأمر ليس خطأ في العرض ولا انتحالًا للعنوان: كان الرابط في البداية يقود فعلًا إلى الموقع الحقيقي. هذه هي آلية إعادة التوجيه المفتوحة (open redirect).

ما هي إعادة التوجيه المفتوحة؟

تقدّم مواقع كثيرة ميزة مشروعة تمامًا: إعادة توجيه الزائر إلى عنوان آخر بعد تنفيذ إجراء ما، مثلًا بعد تسجيل الدخول، أو النقر على رابط برعاية، أو عبر مختصر روابط. يستقبل الموقع في رابطه عنوان الوجهة، ثم يرسل المتصفح إلى ذلك العنوان.

تظهر الثغرة عندما يقبل الموقع أي عنوان وجهة، دون التحقق من أنه ضمن قائمة مصرح بها. بنى المطورون خدمة إعادة توجيه مفيدة؛ لكنهم نسوا ببساطة إغلاق الباب الخلفي. يمكن لأي شخص عندها صنع رابط يبدأ باسم الموقع الموثوق، لكنه ينتهي في مكان آخر، لدى المهاجم.

تشريح رابط مفخخ

لنأخذ مثالًا مبسّطًا عن قصد لهذا البنية:

https://www.google.com/url?q=https://site-pirate.example

يُفتح هذا الرابط فعلًا على خوادم Google: اسم النطاق google.com أصلي، ولا شيء في شريط العنوان يكذب بشأن ذلك. لكن المعامل ?q= ينقل عنوانًا ثانيًا، يصبح الوجهة الحقيقية بمجرد تفعيل إعادة التوجيه. تظهر الآلية نفسها مع أسماء معاملات أخرى شائعة بالقدر نفسه: ?dest=، ?redirect=، ?target=، ?next=، أو حتى ?url=. اكتشاف إحدى هذه الكلمات المفتاحية مباشرة بعد علامة استفهام، متبوعة بعنوان ويب ثانٍ، هو أبسط إشارة يجب مراقبتها.

لماذا يعشق المهاجمون هذه التقنية

يحلّ هذا الأسلوب مشكلتين في آن واحد بالنسبة إلى المهاجم.

• تجاوز مرشحات البريد المزعج. تمنح بوابات أمان البريد الإلكتروني (Secure Email Gateways) درجة ثقة للنطاقات الموجودة في رسالة بريدية. غالبًا ما يحصل رابط يبدأ بنطاق ذي سمعة عالية جدًا، مثل محرك بحث أو شبكة تواصل اجتماعي كبيرة، على درجة ممتازة، حتى لو لم ينظر المرشح مطلقًا إلى الجزء المخفي من الرابط.
• التلاعب بالقراءة البشرية. تعلّم الشخص الحذر التحقق من اسم النطاق قبل النقر. عند مواجهة هذا النوع من الروابط، ينقلب هذا التحقق ضده: يرى بوضوح اسم العلامة التجارية الرسمية في بداية العنوان، فيتوقف عند ذلك الحد دون قراءة البقية.

يستفيد الأسلوب بذلك من ثقة تقنية (درجة مرشح البريد المزعج) وأخرى بشرية (ردة فعل القراءة) في آن واحد، دون الحاجة إلى تقليد نطاق أو خوادم الموقع الموثوق.

تحت الغطاء: رموز 301 و302، وسلاسل إعادة التوجيه

تقنيًا، تجري إعادة التوجيه في استجابة قصيرة جدًا من الخادم إلى المتصفح. يرد الخادم برمز حالة HTTP، دون عرض أي صفحة مرئية: 302 لإعادة توجيه مؤقتة، و301 لإعادة توجيه دائمة. يمتثل المتصفح فورًا ويحمّل العنوان التالي، دون أن يرى المستخدم أي شيء يحدث.

لا شيء يمنع من تسلسل عدة عمليات إعادة توجيه متتالية: نطاق A ذو سمعة عالية جدًا، إلى نطاق B أكثر تواضعًا وهو بدوره عرضة للثغرات، إلى صفحة التصيد الاحتيالي النهائية. كل حلقة إضافية تطمس الأثر أكثر وتُعقّد عمل من يريد تتبع أصل الرابط بمجرد النظر إليه.

كيفية اكتشاف الفخ والتصرف

الطريقة الصحيحة هي قراءة العنوان كاملًا، من اليسار إلى اليمين، دون التوقف عند أول اسم معروف. الإشارة التي يجب البحث عنها بسيطة: وجود http:// أو https:// ثانٍ مخفي لاحقًا في السطر نفسه يشير دائمًا تقريبًا إلى إعادة توجيه مفتوحة، تمامًا مثل وجود معامل من نوع ?q= أو ?url= قبله مباشرة. تنضم هذه اليقظة إلى تلك المطلوبة لقراءة اسم نطاق مضلل بوسائل أخرى، مثل الحروف المتشابهة: راجع دليل Punycode والحروف المتماثلة.

للتحقق من وجهة دون أي مخاطرة، يمكن لصق العنوان في محلل روابط عبر الإنترنت، أو تشغيل أمر curl -I من الطرفية: يرد الخادم برمز إعادة التوجيه والوجهة النهائية، دون تحميل الصفحة أبدًا في المتصفح.

هناك بلاغان مفيدان، يخصان جهتين مختلفتين. يُبلَّغ أولًا الشركة التي يُستخدم نطاقها كنقطة انطلاق (مثلًا عبر نموذج الأمان الخاص بها أو عنوانها المخصص للثغرات)، لتصحح المعامل غير المتحقَّق منه في شيفرتها. ثم يُبلَّغ مزود استضافة صفحة الوصول، تمامًا كما هو الحال مع أي صفحة تصيد احتيالي (راجع العثور على عنوان الإبلاغ الصحيح لدى مزود استضافة)، لأنه هو من يمكنه إزالتها.

تبقى الرسالة الإلكترونية التي تحتوي على هذا النوع من الروابط، من جهة أخرى، رسالة أرسلها خادم حقيقي، ولها أثرها الخاص: راجع دليل تحليل حملة تصيد احتيالي: من الرسالة إلى البنية التحتية. وبلصق الرسالة الكاملة في Baitback، تتبع الأداة بنفسها سلسلة إعادة التوجيه بأكملها حتى الصفحة النهائية، دون الحاجة إلى النقر أو فتح طرفية.