Недавно в мою панель Яндекс-Вебмастер пришло сообщение об XSS атаке на один из сайтов. Данной уязвимости подвержены все сайты, использующие модуль редиректа на подобие контактовского. От этого страдает в первую очередь сам сайт, т.к. его сайт генерирует внешнюю ссылку без ведома владельца сайта.

Итак:
Яша написал мне что, возможно, ваш сайт подвергся XSS-атаке и используется для создания мусорных страниц и ссылок на посторонние сайты.
Примеры обнаруженных нашими алгоритмами страниц приведены ниже:
http://site.net/engine/redirect.php?url=www%22%3E%3C%2Fa%3E%3Cp%3E%3Cb%3E%CF%EE%ED%FF%F2%E8%E5%20%F2%E5%F0 ...

Покопавшись в интернете нашёл решение этой проблемы:
Теоретически, поисковый бот не умеет переходить по таким ссылкам. Но на практике никто не знает, как это всё работает, да и алгоритм меняется постоянно. А наличие таких баз как раз-таки указывает на то, что эту брешь полным ходом используют. В добавок вы получите часть искусственно сгенерированных страниц 404.

Открываем свой redirect.php и после

<?php

вставляем

if (($_SERVER['HTTP_HOST'] != $_SERVER['HTTP_REFERER']) or $url == "") {
    @header ( 'Location: /index.php' );
    die ( "Ошибся?!<br /><br />Топай на <a href=\"/index.php\">{$_SERVER['HTTP_HOST']}</a>" );
    }