关于开放性跳转的一个安全小问题

今天某广告联盟说来自我们网站的流量有不良的流量，由于流量要跳转到广告联盟进行统计，广告联盟在跳到相应的网站。

为了提高不良网站搜索排名性，所以攻击者就利用跳转形式的链接进行seo优化。由于我们使用的广告

联盟存在开放性url跳转，且广告联盟统计流量的方式是校验这个链点中

http://www.xxxxx.com/gotourl.asp?id=2381&url=http://www.baidu.com的id参数，由于id参数是我们的，但url是别人进行伪造的

，所以我们就无辜躺枪了。

下面由于url的跳转是开放的，且很难去做校验，所以被攻击者有机可乘。

http://www.xxxxx.com/gotourl.asp?id=2381&url=http://www.baidu.com

http://www.ad110.com/gotourl.asp?id=2391&url=http://www.baidu.com

http://jump.qt.qq.com/php/jump/check_url/?url=http://www.baidu.com

http://dict.cn/goto/url.php?xref=pc-win8&url=http://www.baidu.com

http://user.56.com/api/jumpQf.php?ourl=http://www.baidu.com

下面就是一个www.ad100.com网站的例子。

安全建议：对开放性跳转的url进行加密，防止伪造url链点。