बाहरी संसाधनों से चित्र - अच्छा या बुरा?

अधिकांश मल्टीसाइट साइटें आपको बाहरी संसाधनों से चित्र होस्ट करने की अनुमति देती हैं। यह न केवल आम उपयोगकर्ताओं के लिए, बल्कि आपके बारे में जानकारी एकत्र करने वाले लोगों के लिए भी एक बहुत ही सुविधाजनक और उपयोगी सुविधा है।



क्या आप सबसे प्रभावी तरीकों के बारे में अधिक जानकारी जानना चाहते हैं? आप सोच रहे हैं कि स्क्रीन रिज़ॉल्यूशन, स्थानीय समय और पासवर्ड के एक जोड़े को बदलने के लिए एक छोटी सी तस्वीर का उपयोग कैसे किया जाए? बिल्ली में आपका स्वागत है!

सामग्री:

• बाहरी संसाधनों से चित्र - अच्छा या बुरा?
  
  • भाग I - सिद्धांत
  
  

हम क्या उपयोग करेंगे

• निष्क्रिय तरीके - उपयोगकर्ता के लिए आने वाली जानकारी की पारदर्शी रिकॉर्डिंग
• सक्रिय तरीके - प्रत्येक अनुरोध पर अद्वितीय सामग्री लौटाते हैं

सक्रिय तरीके पता लगाने योग्य हैं, लेकिन वे हमें वांछित परिणाम दे सकते हैं।

निष्क्रिय विधियाँ

हमें सभी जानकारी प्राप्त करने की आवश्यकता है जो हमें प्रत्येक उपयोगकर्ता को बल्क से अलग करने की अनुमति देता है, और फिर उनकी निगरानी करना शुरू कर देता है। सबसे निचले स्तर पर, यह आईपी ​​प्रोटोकॉल है , फिर टीसीपी , संभवतः एसएसएल / टीएलएस , और फिर एचटीटीपी ।

परंपरागत रूप से, इस क्षेत्र में यातायात विश्लेषण का उपयोग किया गया है।

मोज़िला फ़ायरफ़ॉक्स	Google Chrome (RU)
GET /image.png HTTP/1.1 Host: habrahabr.ru User-Agent: Mozilla/5.0 Accept: image/png,image/*;q=0.8,*/*;q=0.5 Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Referer: http://habrahabr.ru/ Connection: keep-alive : \r\n	GET /image.png HTTP/1.1 Host: habrahabr.ru Connection: keep-alive User-Agent: Mozilla/5.0 Accept: */* Referer: http://habrahabr.ru/ Accept-Encoding: gzip,deflate,sdch Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.6,en;q=0.4 Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.3 : \r\n

ये दो अनुरोध हैं, एक ही पृष्ठ से, एक ही चित्र से, लेकिन विभिन्न ब्राउज़रों से। जैसा कि आप देख सकते हैं, न केवल हेडर की सामग्री अलग है, बल्कि उनका क्रम भी है। ब्राउज़रों के विभिन्न संस्करणों में भी अंतर होगा, इसलिए हम उपयोगकर्ता-एजेंट के स्थानीयकरण और जानबूझकर परिवर्तन को मान सकते हैं।

एक बड़ी फ़ाइल के मामले में, पढ़ने के समय टिकट सूचना हस्तांतरण की गति निर्धारित कर सकते हैं। गति और आईपी-पते से प्रदाता और टैरिफ का पता लगाना संभव होगा जो किसी व्यक्ति को सोशल इंजीनियरिंग लागू करने में मदद करेगा।

बॉट

अधिकांश बॉट्स जो किसी साइट को देखने का अनुकरण करते हैं और ब्राउज़र इंजन पर आधारित नहीं होते हैं, वे लोअरकेस होस्ट हेडर प्रदान नहीं करते हैं - यह टैग प्रशासन की सहायता के बिना खलनायक का जल्दी पता लगाने में मदद करेगा:

 <img src="http://HABRAhabr.ru/image.png" alt="  "> 

सक्रिय विधियाँ

अब हम अब मज़े की ओर बढ़ रहे हैं, हम इस तकनीक का सबसे अधिक इस्तेमाल क्यों नहीं करते?

कुकी

आपने सर्वर और क्लाइंट के बीच डेटा स्थानांतरित करने के लिए इस तकनीक के बारे में सुना होगा; IE संस्करण 2 ने इसका समर्थन करना शुरू किया। मोज़िला फ़ायरफ़ॉक्स 22 ने हाल ही में संपर्क किया, जिसमें तृतीय-पक्ष डोमेन से कुकीज़ की स्थापना डिफ़ॉल्ट रूप से अवरुद्ध हो गई थी, लेकिन एक बड़ा आश्चर्य हर किसी को इंतजार करता है जो अन्य ब्राउज़रों का उपयोग करता है। वैक्टर का उपयोग करें:

• अलग-अलग आईपी से ग्राहक के आउटपुट का मिलान
• विभिन्न ब्राउज़र सत्रों को ट्रैक करना
• डेटा सीमा के आधार पर एक ब्राउज़र को परिभाषित करना
• दूसरे के लिए स्थानीय समय का निर्धारण

पहले पैराग्राफ के साथ, सब कुछ स्पष्ट है - हम एक लंबी वैधता अवधि के साथ एक कुकी सेट करते हैं, इसमें एक अद्वितीय पहचानकर्ता लिखते हैं, और फिर सब कुछ पढ़ते हैं।

दूसरा आइटम पहले वाले के समान सरल है - अगर हम एक समाप्ति तिथि निर्धारित नहीं करते हैं, तो कुकी तब तक मान्य होगी जब तक कि ब्राउज़र पहली बार बंद नहीं हो जाता है, इसलिए उसके बाद केवल पहली कुकी के साथ अनुरोध भेजा जाएगा।

विकिपीडिया डेटा कहता है कि प्रत्येक ब्राउज़र डेटा की मात्रा पर एक सीमा निर्धारित करता है, इसके अलावा, यह कभी-कभी संस्करण से संस्करण में बदल जाता है, जिससे किसी अन्य डोमेन से किसी अन्य चित्र को प्रकाशित करने से एक सही परिभाषा की संभावना बढ़ सकती है।

चौथे पैराग्राफ में कुछ प्रयास की आवश्यकता होती है:

 Set-Cookie: name=VALUE[; expires=DATE][; path=PATH][; domain=DOMAIN_NAME][; secure][; HttpOnly]; Cookie: name=VALUE; 

सर्वर सेट -कुकी का उपयोग करके कुकी को सेट करता है, आवश्यक पैरामीटर सेट करता है और ब्राउज़र में सब कुछ स्थानांतरित करता है। ब्राउज़र मापदंडों को बचाता है और केवल डेटा वापस आता है - सुरुचिपूर्ण ढंग से और बस।

यहां सबसे दिलचस्प बात यह है कि दिनांक फ़ील्ड है, इसे प्रारूप में सेट किया गया है Wdy, DD Mon YYYY HH: MM: SS GMT , अर्थात यह स्थान की परवाह किए बिना एक ही है, हालांकि, यदि सिस्टम का समय सिंक्रनाइज़ नहीं है या एक अलग समय क्षेत्र सेट है, तो अंतर होगा।

नोट: यह सब केवल तभी काम करेगा जब सर्वर ने अपने समय के साथ दिनांक शीर्षलेख पारित नहीं किया था - ब्राउज़र को किसी तरह बाहर निकलने की आवश्यकता है।



हम 2 घंटे के अंतर के साथ कुकीज़ के नियंत्रण और 12 और विभिन्न संस्करणों को सेट करेंगे और स्थान के माध्यम से पुनर्निर्देशित करके अगले उपयोगकर्ता की प्रतिक्रिया देखेंगे। फिर संकुचन या विस्तार (यदि एक दिन से अधिक समय बदल जाता है), यदि आवश्यक हो, तो सीमा दूसरे निशान तक पहुंच जाती है, जिसके बाद आप सर्वर और क्लाइंट समय के बीच संबंध निर्धारित कर सकते हैं और अगली बार व्यक्ति की पहचान कर सकते हैं।

कैश

ब्राउज़र कैश आपको उन मामलों में ठीक वैसा ही करने की अनुमति देता है जहां कुकीज़ अक्षम हैं:

ETag

जब छवि भेजी जाती है, तो एक अद्वितीय हैश स्ट्रिंग के साथ Etag हेडर दिया जाता है:

 Etag: 1aa69b6c6273a8 

एक बाद में सर्वर अनुरोध इस तरह दिखेगा:

 If-None-Match: 1aa69b6c6273a8 

अब सर्वर को तस्वीर को स्थानांतरित किए बिना 304 Not Modified की स्थिति देने का अधिकार है - ब्राउज़र इसे कैश से लेगा।

Last-Modified

ट्रैकिंग के लिए Etag का एक पुराना एनालॉग भी इस्तेमाल किया जा सकता है। दस्तावेज़ को अंतिम बार संशोधित करने की तारीख का संकेत देता है।

 Server => Last-Modified: Fri, 02 Jan 1970 10:17:36 GMT Client => If-Modified-Since: Fri, 02 Jan 1970 10:17:36 GMT Server => HTTP/1.1 304 Not Modified 

समय-सीमा समाप्त

दस्तावेज़ की प्रासंगिकता की संभावित समाप्ति की तारीख इंगित करता है। समय की परिभाषा का लंबा एनालॉग।

 Expires: Fri, 02 Jan 1970 10:17:36 GMT Cache-Control: must-revalidate 

शीर्षक का विवरण यहां वर्णित है ।

लिंक हैडर

लिंक HTTP हैडर <लिंक> टैग के बराबर है। आप सीधे हेडर में एक आरएसएस फ़ीड, एक स्टाइलशीट आदि के लिए एक लिंक निर्दिष्ट कर सकते हैं - यह एक मौका है, क्योंकि HTML तस्वीर में शामिल नहीं किया जा सकता है ( इंटरनेट एक्सप्लोरर के पुराने संस्करणों को छोड़कर )।

 Link: <./style.css>; rel=stylesheet 

आधुनिक सीएसएस 3 सुविधाओं का उपयोग करना - मीडिया क्वेरी - आप शर्तों के माध्यम से डेटा लोड कर सकते हैं, उदाहरण के लिए, स्क्रीन रिज़ॉल्यूशन द्वारा:

 @media all and (device-width: 1024px) { html { background: url("./w1024.jpg"); } } @media all and (device-height: 768px) { body { background: url("./h768.jpg"); } } 

यह विधि हमेशा काम नहीं करेगी - चित्र केवल तभी डाउनलोड किए जाते हैं यदि उनके अनुरूप टैग हों, कोई वेबकिट सपोर्ट न हो, सिंटैक्स शर्तों में सीमित हो। लेकिन कुछ विन्यास के साथ यह काम करता है!

अंतहीन जीआईएफ

विचार यह है कि एनिमेटेड जीआईएफ के प्रारूप में फ़्रेम की संख्या इंगित नहीं की गई है, इसलिए छवि प्रदर्शित करने के बाद ब्राउज़र सर्वर से नए फ़्रेमों की प्रतीक्षा करता है जब तक कि यह फ़ाइल के अंत के बारे में सिग्नल बिट्स प्राप्त नहीं करता है। दूसरे शब्दों में, सर्वर जीआईएफ में खुले चैनल के जरिए संदेशों को ब्राउज़र में धकेल सकता है।

(c) एलिज़र

Habrahabr.ru/post/151538 और habrahabr.ru/post/180877 देखें

इसके अलावा, एक अंतहीन जिफ़ का उपयोग उपयोगकर्ता द्वारा पृष्ठ पर बिताए गए समय को ट्रैक करने के लिए किया जा सकता है - सॉकेट बंद हो जाएगा जब नेटवर्क सेटिंग्स बदलने, प्रॉक्सी सर्वर, वीपीएन सर्वर को स्विच करने के बाद टैब बंद हो या लटका हो ...

हैडर को रिफ्रेश करें

यह शीर्षक ( लिंक के विपरीत) मानकों द्वारा निर्धारित नहीं है, हालांकि, यह लगभग हर जगह समर्थित है।

 Refresh: 15; url=http://habrahabr.ru/images/bg-multilogo.png 

यह आपको एक निश्चित अवधि के माध्यम से पुनर्निर्देशित करने की अनुमति देता है - यदि उपयोगकर्ता पृष्ठ को लोड करता है, और तब टैब को बंद किए बिना वीपीएन और प्रॉक्सी को डिस्कनेक्ट करता है - उसका आईपी हमारी जेब में होगा।

मूल प्रमाणीकरण

विधि बहुत पुरानी है, मैं तर्क नहीं करता, यह हेडर पर भी काम करता है और अभी भी प्रासंगिक है। और अगर आप केवल घात लगाने के लिए सही लोगों को फ़ॉर्म देते हैं, जहाँ कोई भी इसे नहीं देखेगा, यह एक असंभव कार्य है।

सामग्री: habrahabr.ru/post/140054

CSRF के हमले

CSRF वेबसाइट आगंतुकों पर एक प्रकार का हमला है जो HTTP प्रोटोकॉल की खामियों का फायदा उठाता है। यदि कोई पीड़ित किसी हमलावर द्वारा बनाई गई वेबसाइट पर जाता है, तो उसकी ओर से एक अनुरोध दूसरे सर्वर पर गुप्त रूप से भेजा जाता है (उदाहरण के लिए, भुगतान प्रणाली सर्वर को) जो कुछ दुर्भावनापूर्ण कार्रवाई करता है (उदाहरण के लिए, किसी हमलावर के खाते में धन हस्तांतरित करता है)। इस हमले को अंजाम देने के लिए, पीड़ित को उस सर्वर पर अधिकृत किया जाना चाहिए जिसके लिए अनुरोध भेजा गया है, और इस अनुरोध को उपयोगकर्ता से किसी भी पुष्टि की आवश्यकता नहीं होनी चाहिए, जिसे हमलावर स्क्रिप्ट द्वारा अनदेखा या छेड़छाड़ नहीं किया जा सकता है।

https://ru.wikipedia.org/wiki/Interface request_fake

यदि URL कड़ाई से फ़िल्टर किया गया है, तो इसका मतलब यह नहीं है कि ऐसा हमला असंभव है। उसी स्थान के हेडर के माध्यम से, आप पासवर्ड बदलने, संदेश भेजने या कुछ और करने के लिए एक दुर्भावनापूर्ण लिंक भेज सकते हैं:

 Location: http://www.ru/panel/password?newpass=qwerty&newpass2=qwerty&submit=ok 

केवल जीईटी पद्धति का उपयोग करना संभव है, ऐसी कमजोरियां आज व्यापक हैं। अक्सर लॉगिंग के लिए सुरक्षित, लेकिन अप्रिय सीएसआरएफ होते हैं, आप थोड़ी देर के लिए साइट को अक्षम कर सकते हैं।

निम्न-स्तरीय, गलत और अन्य तरीके

ग्रे आईपी (आंतरिक नेटवर्क) परिभाषा

ओपनवीपीएन तकनीक में आंतरिक नेटवर्क का व्यापक रूप से उपयोग किया जाता है, सर्वर पर आने वाले टीटीएल को मापकर और पैकेट वितरित करते समय सबसे कम संभव मान द्वारा उनकी उपस्थिति का निर्धारण करने के लिए सोचा गया था।

विधि का त्वरित रूप से खंडन किया गया था - संसाधन और संसाधन से पथ संयोग ( सामग्री ) नहीं हो सकता है और विधि सही उत्तरों की तुलना में अधिक विफलताएं देगी।

हालाँकि, अभी भी एक एप्लिकेशन है, डिफ़ॉल्ट रूप से, लिनक्स में टीटीएल 64 है, विंडोज में - 128। ऐसे बड़े अंतर कुछ मामलों में दूरस्थ होस्ट के ओएस को निर्धारित करने में मदद करेंगे।

फ़ायरवॉल उपयोग का निर्धारण (जीत के लिए)

विधि बहुत सरल है, लेकिन केवल विन सिस्टम के लिए उपयुक्त है जहां कास्परस्की इंटरनेट सुरक्षा जैसे उत्पादों का व्यापक रूप से उपयोग किया जाता है। किसी वायरस कोड में किसी चित्र को उसके अवरोधन को ट्रैक करना मुश्किल नहीं है - संसाधन को लंबे समय तक अवरुद्ध किया जा सकता है, चित्र कभी भी कैश में नहीं होगा।

मेजबान स्कैन

इसकी आवश्यकता हो सकती है, लेकिन जितना संभव हो उतना सावधान रहना चाहिए - ऐसी गतिविधि का पता चलने पर कुछ भी अच्छा नहीं चमकता है।

निष्कर्ष

यदि आपकी अपनी वेबसाइट है, तो इसके बारे में सोचें, लेकिन क्या एक फीचर की वजह से आपको इतनी परेशानियों की ज़रूरत है?

UPD1:
टिप्पणियों में baadf00d ने DNS लीक को याद किया (आपको यह निर्धारित करने की अनुमति देता है कि DNS सर्वर का उपयोग किया जाता है, कभी-कभी यह प्रदाता है)।

Google सार्वजनिक सर्वर:

 8.8.8.8 8.8.4.4 

फ़ायरफ़ॉक्स सेटअप (लगभग: config):

 network.proxy.socks_remote_dns = 1