开放重定向(Open Redirection)

简介

　　那些通过请求（如查询字符串和表单数据）指定重定向URL的Web程序可能会被篡改，而把用户重定向到外部的恶意URL。这种篡改就被称为开发重定向攻击。

 

场景分析

 

　　假设有一个正规网站http://nerddinner.com/，还有一个恶意网站或钓鱼网站http://nerddiner.com/（注意：这里少了个n）。

　　一天，小白收到了别人发的链接：http://nerddinner.com/Account/LogOn?returnUrl=http://nerddiner.com。

　　1. 打开链接后进入了登录界面，小白输入了自己的帐号名密码进行登录。

　　2. 登录成功后重定向到了恶意网站。

　　3. 恶意网站是一个仿造正规网站的登录页面，并在上面提示用户名或密码错误。