搜狐漏洞：滥用开放重定向网址

 

http://adc.go.sohu.com/200611/741baec86589cceadff14d3a2a1531d0.php?url=http://www.sohu.com.XXXXXX.cn

上面这个网址，一般情况下普通网民看到会怎么想？

 

估计一般就会认为这是sohu的页面或是与sohu有业务关系的吧？点开之后就会发现导航到了一个很“传统”的以骗取短信费模式的网站，而且这个网站做了泛域名解析，实际的域名是XXXXXX.cn，可以在任意一个whois网站查到域名所有人，与sohu一点关系都没有。

 

可以试验一下，把http://www.sohu.com.XXXXXX.cn改成其他任何网址，都会自动跳转过去的。所以，这是一个漏洞。当一个漏洞被居心不良的人知道，就会出现一个骗局。 

 

搜狐在这个骗局中是什么角色呢？仅仅是受害者吗？恐怕不是。应该说是技术的漏洞导致了“为虎作伥”的后果——如果“搜狐网络营销中心”（http://adc.go.sohu.com/）能够注意检查使用自己转向功能的域名，恐怕不会出现此漏洞。

 

某种意义上说，这个漏洞是对sohu有利的：搜狐可以把利用此页面转向的所有帐都记到客户身上，最终结果是使用搜狐网络营销的客户为骗子的推广买单。

 

但是从法律上来说，sohu是难逃干系的，对客户他有未尽义务和欺诈的嫌疑，对普通网民的受害者他有连带责任。这就像以前一家公司：由于看管不严，骗子竟然在这家公司的会客室里行骗得手，最后法院判其负连带责任。所以sohu如果不注意，早晚要为这个漏洞付出代价。

 

看来这个事情靠自律不够了，需要行政力量配合。