Redirecciones abiertas y el papel que cumplen en un engaño

Una redirección abierta es una dirección de la aplicación que envía a quien la visita a cualquier destino que le indique un parámetro. MITRE la cataloga como CWE-601, redirección de URL hacia un sitio no confiable, de nivel base.

Por sí sola no roba nada ni rompe nada del servidor: el daño llega cuando se usa como eslabón. Quien arma un correo de engaño necesita que la persona pulse, y la gente pulsa lo que reconoce. Un enlace que empieza por el dominio de su editorial, su universidad o su banco atraviesa dos filtros a la vez: el del ojo humano, que mira el principio de la dirección, y a veces el del correo corporativo, que confía en los dominios de la lista de socios.

Hay un segundo efecto, menos visible: lo que viaja en el salto. Según cómo esté armada la página de origen, una redirección puede arrastrar al destino la dirección completa de la que venía, con lo que esa dirección lleve dentro. Por eso una redirección abierta se trata como hallazgo propio y no como «un detalle de usabilidad».

Abre el laboratorio. SalidaController.php muestra qué hace el redirector con el parámetro; destinos-declarados.txt dice a qué socios enlaza el sitio de verdad y cuál es el dominio propio. Después lee registro-salidas.txt, que guarda el host al que terminó cada persona.

El alcance de este hallazgo no se mide en líneas de código: se mide en personas que siguieron el salto. Cuenta las salidas del registro que terminaron en un host que no es el dominio propio de la editorial ni uno de sus subdominios, y que tampoco figura en la lista de socios declarados.

Cuando este hallazgo llega al equipo, la primera propuesta suele ser una lista de hosts prohibidos alimentada con lo que ya pasó. Conviene anticiparse y explicar por qué no cierra nada: la lista solo conoce el host de ayer, y registrar un host nuevo cuesta muy poco.