使用者點選連結，常被導向另一個不相干的網站，資安問題如何防範？知己知彼，了解問題癥結，才能將傷害降低 ！
資訊安全的議題近年來日漸受到重視，很多入口網站也都大張旗鼓扛起資安的旗號，希望提供給網路使用者更安全的上網環境，可惜美中不足的是，這些網站本身架構都太大了，難免都會存在一些安全性問題！有機會的話小弟未來會再一一跟各位做分享，今天小弟要先拿出來鞭的問題是已經遭到大量利用的入口網站轉址漏洞問題！
如果有在收集或研究垃圾郵件的朋友，應該都會發現很多色情網站的連結，開頭都是幾個常見的入口網站，可是當使用者點選連結後，卻會被導向另一個完全不相干的網站，其實這就是所謂的轉址漏洞，在部分的網頁程式弱點掃描軟體會將之歸類為「Link Injection」(連結注入)的弱點，不過小弟還是覺得使用轉址漏洞會比較貼切一點！
以下，針對幾個主要的入口網站的轉址漏洞部份，小弟個別做個說明：
MSN部分：
當使用者在瀏覽器中鍵入http://g.msn.com/0SEP/zhcnrs時將會被導到http://cns.3721.com/cns.dll?type=cns&fa=1&coagent=msn_sa&ei=utf-8&cvar1=&name= ，如此一來，攻擊者將可利用http://g.msn.com/0SEP/zhcnrs?name= 加上欲導過去的網址，例如：http://g.msn.com/0SEP/zhcnrs?name=www.isecutech.com.tw，即可將使用者導向至資安人網站；也許有人認為這不是漏洞，但在真實情況中，這類型的弱點已經被利用來誘使使用者點擊色情連結，萬一哪天再被利用來進行網路釣魚呢？無辜的使用者可能因此受騙上當，因而被植入惡意程式，甚至是造成個人資料流失。
其餘據相同問題者尚有：
1.http://g.msn.com.cn/CNCONH6/20806.11?http://
2.http://g.msn.com.cn/0sep/zhcnrs?name=
3.http://g.msn.co.jp/0sep/zhcnrs?name=
4.....etc
MSN的部份，小弟已經與msn.com的客服聯繫過，不過處理進度緩慢，每次回信起碼都要等上一個禮拜！而且在幾封信件往返後，突然以該垃圾郵件不是msn.com發出，他們無法處理的理由打算結案。
但在小弟要求下，才又重新審理小弟的申訴，不過在歷經將近10天的處理時間後，msn.com又給小弟更令人傻眼的回覆，他們表示「該連結並不是MSN首頁的官方網址。這可能是其他欺騙性質的網站將他們的網址製作地類似MSN首頁的模式，引導用戶去訪問。」原來msn.com與g.msn.com是不同公司管理的？對該單位的處理態度與能力實在難以苟同。
yahoo部分：
目前被利用的情形以日本yahoo最為嚴重，應該很多人都已經發現了！只要加上一個神奇的*號，就允許被轉址到任何地方。
日本yahoo：http://www.yahoo.co.jp，只要在網址http://rd.yahoo.co.jp後面加上/*http://就可以導到其他網站，Ex:http://rd.yahoo.co.jp/*http://www.isecutech.com.tw/
甚至中間可加上任意無意義的字串，Ex:http://rd.yahoo.co.jp/abcdefghijk/*http://www.isecutech.com.tw/。就會被自動略過而執行星號之後的url。
其餘具相同問題者尚有：
1.http://www.yahoo.co.jp(日本yahoo應該還有很多地方存在類似問題)
2.http://uk.wrs.yahoo.com/
3. http://it.wrs.yahoo.com/
4. http://es.wrs.yahoo.com
5. ....etc
此外，還有http://e.my.yahoo.com/config/my_package?.a=i&.pa=add&.pid=3&.p=(任意字串)&.done= 加上欲導過去的網址，Ex： http://e.my.yahoo.com/config/my_package?.a=i&.pa=add&.pid=3&.p=abcdefghijk&.done=http://www.isecutech.com.tw/ Google部分：
近來在資安領域著墨頗深的google一樣有類似問題，使用者只要在瀏覽器中鍵入http://news.google.com/news/url?sa=T&fd=R&url=http:// 加上欲導過去的網址。Ex:http://news.google.com/news/url?sa=T&fd=R&url=http://www.isecutech.com.tw/
甚至中間可加上任意字串。Ex:http://news.google.com/news/url?sa=T&abcdefghijk&fd=R&url=http://www.isecutech.com.tw/
而且google其餘domain亦具有相同問題。
Ex：
1. http://news.google.com.tw/news/url?sa=T&fd=R&url=http://
2. http://news.google.co.jp/news/url?sa=T&fd=R&url=http://
3. …etc
另一個類似的google的轉址漏洞出現在http://www.google.es/pagead/iclk?sa=l&ai=(任意字串)&adurl=http:// 欲導向的網址，中間一樣可以加上任意字串！而且在google其他domain亦有相同問題。
AOL部分：
AOL對台灣的網友來說應該比較陌生，不過也常被利用來進行轉址的入口網站，只要在網址列上鍵入：http://aol.com/redir.adp?_url=http:// 加上欲導過去的網址，就可以連接到該網站，Ex:http://aol.com/redir.adp?_url=http://www.isecutech.com.tw/，即可被導引連結到資安人網站。
當然其他被利用的網站還有很多，Ex：http://ast.amazonaws.com/Xino/?Action=Redirect&DefaultImage=，甚至是前陣子資訊外洩鬧的沸沸揚揚的博客來網路書店亦有類似問題。(http://www.books.com.tw/exep/ap.php?apid=books&areaid=wel_header&url=http://)
不過令我好奇的是，入口網站們為何會允許這類問題繼續存在，甚至已經被大量利用於垃圾郵件中，卻完全沒有做出任何處理與回應，難道真的要等到更惡質的利用出現後，才願意做出處理嗎？
小弟真的衷心希望當這篇文章被刊載出來時，前文所提及的連結皆已失效，讓我們的上網環境變得更安全。