Защитить сайт от уязвимости Open Redirect можно с помощью межсайтовых веб-страниц, которые отображаются перед выполнением перехода и информируют пользователя о том, что он покидает текущий домен. HackerOne применяет их, в частности, для перехода по ссылкам из отчетов хакеров
Найти уязвимости Open Redirect помогает анализ истории GET-запросов прокси-сервера на тестируемом сайте, у которого есть параметр, обозначающий URL-адрес для перенаправления
Установить значение window.location можно только при наличии уязвимости межсайтового скриптинга или с разрешения веб-сайта указывать для перехода любой URL-адрес (пример на с. 40)
Если компания Google не следит за тем, чтобы адрес в параметре redirect_to принадлежал одному из ее собственных сайтов, злоумышленник может подставить в этот параметр свой URL-адрес
Метод POST вызывает удаленную функцию, которая заставляет принимающий сервер выполнить действие: создать комментарий, зарегистрировать пользователя, удалить учетную запись и т.д. — либо бездействовать. Ошибка обработки POST-запроса мешает сохранить запись на сервере.
