ब्राउज़र प्लग-इन, cpatext, सामग्री-सुरक्षा-नीति के साथ साइट पृष्ठों के लिए स्पैम लिंक का प्रतिस्थापन (एम्बेडिंग)

जनवरी के अंत में, फॉर्म के अजीब लिंक पर सैकड़ों क्लिक हमारे आंतरिक उपयोगकर्ता क्लिक विश्लेषण प्रणाली के लॉग में दिखाई देते हैं।



compareiseries.in/goto.php?url=aHR0cDovL24uYWN0aW9ucGF5LnJ1L2NsaWNrLzUyZDhmODY2ZmQzZjViMjYxYTAwNDFjNS82OTIzMy81MDI1OS9zdWJhY2NvdW50



एक छोटी जांच से पता चला है कि Compariseries.in साइट एक परत है, स्क्रिप्ट एक जेएस को उस लिंक पर पुनर्निर्देशित करती है जो पते में प्रेषित किया गया था। इस मामले में, base64 ने असली पता छुपाया:

n.actionpay.ru/click/52d8f866fd3f5b261a0041c5/69233/50259/subaccount



यह अनुमान लगाना कठिन नहीं है, साइट प्रति क्लिक भुगतान के साथ एक ट्रैफ़िक एक्सचेंज बन गई है (यूआरएल में किसी के विशिष्ट खाते के मापदंडों के साथ)। यही है, किसी ने क्लिक पर धोखा दिया, पैसा कमाया - और यह सब हमारी साइट पर है और सबसे अधिक आक्रामक तरीके से, हमारी अनुमति के बिना।

समस्या

समस्या: बड़ी संख्या में आगंतुकों के ब्राउज़र में साइट देखने पर, कई विविध विज्ञापन संसाधनों के स्पैम लिंक होते हैं।

प्रश्न: वे किस स्तर पर दिखाई देते हैं?

विकल्प जो दिमाग में आते हैं (घटती संभावना के विषयगत मूल्यांकन क्रम में):



1. उपयोगकर्ता के ब्राउज़र में, कंप्यूटर पर एक वायरस के परिणामस्वरूप / वायरस प्लग-इन ब्राउज़र / अन्य वायरस को उनकी सभी विविधता में, दुर्भावनापूर्ण javascripts देखी गई साइटों में इंजेक्ट किया जाता है;



2. हमारे सर्वर हैकिंग के परिणामस्वरूप और बाद में साइट या वेब सर्वर या नेटवर्क कार्ड ड्राइवर के zastrovaniya कोड आगंतुकों को स्पैम स्क्रिप्ट / लिंक देते हैं;



3. एक जेएस जिसे हम बाहरी संसाधनों से लोड करते हैं, हैकिंग के परिणामस्वरूप, एक साथ विज्ञापन स्पैम सामग्री वितरित करना शुरू किया

(rambler top100, vk / fb, twitter, google, yandex metrika, ... इनमें से लगभग एक दर्जन हैं);



हमारे सर्वर पर किसी भी निशान के लिए एक सावधान खोज निकली कुछ भी नहीं, बिंदु 3 सबसे अधिक संभावना नहीं है। इसके समानांतर, हमने अपने रूपांतरण विश्लेषण प्रणाली में सुधार किया - ताकि पृष्ठों की सामग्री जिस पर "बाईं" URL पर क्लिक किया गया था।



हमारे impromptu "जाल" के पहले ही घंटों में दर्जनों पेज पकड़े गए, और उनके साथ फॉर्म के इंजेक्ट किए गए js:

api.cpatext.ru/js/cpatext.js?r5

ayrqejixqe.ru/js/start_ad.js?u=7_05032014

yhcwxeqhzg.ru/?d=kidsreview.ru&t=KidsReview.ru%20%7C

www.superfish.com/ws/sf_main.jsp?dlsource=pcom&userId=4826451239324129823&CTID=p1272



या, उदाहरण के लिए, इस तरह:

"डेटा: टेक्स्ट / जावास्क्रिप्ट; base64, KGZ1bmN0aW9uKHdpbmRvdykgew0KICAgIHZhciBkb21haW5fbGlzddd9ccsMS5hemFydG55ZS1pZ3J5LBBv2L2L6J6L5J6L5JL5JL



आदि



समझ गया! - हमने फैसला किया और cpatext.ru खोला, और वास्तव में हमने जो देखा - "हम स्वचालित रूप से लिंक को प्रतिस्थापित करते हैं, और आप अधिक कमाते हैं!"।







लोग विभिन्न तरीकों से लिंक को बदलने का सुझाव देते हैं, विशेष रूप से ब्राउज़र प्लगइन्स के माध्यम से। उन्होंने इसके लिए एक पूरी प्रणाली बनाई और निश्चित रूप से, वे केवल लोगों से दूर हैं।

क्या करें?

परिणामों से निपटने के लिए सबसे उपयोगी विकल्पों में से एक सामग्री-सुरक्षा-नीति शीर्ष लेख (http://en.wikipedia.org/wiki/Content_Security_Policy) है, जो साइट को बाहरी सामग्री के साथ साइट के पृष्ठों के संचालन पर प्रतिबंध की घोषणा करने की अनुमति देता है। विशेष रूप से, यह आपको आधुनिक ब्राउज़रों को निर्देश पारित करने की अनुमति देता है कि साइट बाहरी जेएस को लोड करने की अनुमति किस बाहरी डोमेन से देती है।



यह विधि विशेष रूप से अच्छी है अगर सभी js एक ही डोमेन (उदाहरण के लिए, CDN) के भीतर स्थित हों, लेकिन सामान्य स्थिति में, जब किसी साइट में थर्ड-पार्टी js (उदाहरण के लिए, हमारी तरह विजेट) हो सकते हैं, तो कई समस्याएं उत्पन्न होती हैं:



1. सभी भरी हुई बाहरी जेएस का विश्लेषण करके एक पूर्ण श्वेतसूची को संकलित करना आवश्यक है



2. विकास के दौरान, श्वेतसूची को अद्यतित रखना आवश्यक है



3. वैध बाहरी लिपियों की मेजबानी की पेचीदगियों में परिवर्तन: उदाहरण के लिए, डोमेन सीडीएन फेसबुक को बदलना या नए तीसरे पक्ष के वैध डोमेन की उपस्थिति - एक त्रुटि की ओर जाता है।



4. अन्य बातों के अलावा, विज्ञापन टूलबार और संभावित रूप से वैध ब्राउज़र एक्सटेंशन से बहुत सी स्क्रिप्ट अवरुद्ध हैं।



हमने टीम के भीतर सहमति व्यक्त की कि जो एक्सटेंशन पृष्ठ की सामग्री में जाते हैं और खुद को "जंगल से गुजरने" की सामग्री को बदलने की अनुमति देते हैं, लेकिन क्या यह 100% मामलों में सच है?



सामग्री-सुरक्षा-नीति का उपयोग करने से रोकने के बाद, "बाएं" क्लिक छोटे परिमाण के आदेश बन जाते हैं (केवल उन ब्राउज़रों के प्राचीन संस्करणों से जो सीएसपी बने रहने का समर्थन नहीं करते हैं), लेकिन कई प्रश्न बने हुए हैं:



1. क्या सीमाओं के संदर्भ में ब्राउज़र डेवलपर्स की ओर से कोई बदलाव है

साइट पृष्ठों में js इंजेक्शन के लिए एक्सटेंशन?



2. बड़ी साइटों पर संक्रमित उपयोगकर्ताओं के साथ समान मुद्दों से निपटने के लिए सर्वोत्तम अभ्यास क्या हैं?

गोलगप्पे खाने से कोई भी अच्छी जानकारी नहीं मिल सकती थी।



3. और सबसे महत्वपूर्ण बात यह है कि साइटें शांति से क्यों रहती हैं: metabar.ru , cpatext.ru ?