我一直在浏览OWASP前10名，以便更深入地了解每种特定类型的漏洞。我已经完成了最后一项，即未经验证的URL重定向。我理解这次袭击;现在，我已经在OWASP中了解了这种网络钓鱼方案。我正在努力理解的是为什么这种重定向风格一开始就出现了。
将重定向网址作为参数包含在网址
中必须有一些优势即example.com/go.php?url=newpage.php
而不是使用许多其他可能的重定向方案。即使url参数是动态生成的，也不能通过POST发送以防止创建恶意URL？为什么谷歌允许任何人发送“我很幸运”的重定向网址，如this one，这些网址会转到Stack Overflow？
答案 0 :(得分：1)
这个问题现在有点老了，但是如果你仍然好奇，或者完全忘了它，我会为你回答它。 ：）
以下是我可以想到的添加重定向参数的两个最常见的用例：
作为一种在用户离开网站时监控或警告用户的方法。在想要跟踪趋势和用户流量的网站上，例如Twitter及其网址缩短程序，或谷歌搜索跟踪，这可用于找出用户下一步的位置。网站也可能会仔细检查网址并检查网页是否安全，或者只是向用户显示一个“离开页面”，警告他们他们要离开网域。
要记住用户在被转移之前的意图。例如，用户可能已尝试直接转到其帐户页面，但需要将其重定向到登录页面才能先登录。一旦成功，用户将被引导回他们最初尝试访问的页面，而不是默认页面，帮助连续性。
在第二种情况下，预期的URL确实可以作为隐藏参数或cookie传递。但是，这两种技术仍然可能像OWASP识别的那样容易被滥用......除非可能将URL作为会话变量存储在服务器端。