使用CSS樣式代碼對訪客流覽操作進行記錄

上年，有一名外國佬JanBöhmer構建了一個企業網站，用作監測和紀錄客戶資料資訊，包含點一下，電腦滑鼠挪動，電腦流覽器種類和電腦作業系統。根據Web運用開展客戶監測大夥兒早已習以為常，可是這一網址應用的方式卻有點兒”中低端”，中低端的讓大多數而為心裡一顫，由於他的方式沒有採用一切動態性語言，乃至都沒有採用JavaScript，僅僅純html代碼和一列css樣式。這擺脫一直以來大夥兒覺得css樣式只有改動靜態資料款式顯示資訊的的邏輯思維。並且個人行為跟蹤中也出現一些恰當的，令人讚不絕口的小竅門。蟲蟲今日就來給大夥兒分析的他的方式和方法，第二一部分表明了避免該類監測的方式對策。

 

這一方式運用了css樣式的2個特點：將內容引入html代碼原素的工作能力（控制DOM），及其在客戶實行實際操作後變更款式的工作能力（3D渲染網頁頁面）。該網址的原理是應用content特性在實行實際操作時設定URL。URL啟用一個PHP腳本製作，該腳本製作紀錄相關實際操作的詳細資料，這種實際操作將做為URL參數傳遞。而並不是在初次載入網頁頁面時啟用URL。

 

監測基本原理

 

比如，下列css樣式在每一次點擊#link原素時啟用URL：

 

監測腳本製作包括紀錄惡性事件時間和實行實際操作的編碼。它還可用作獲取客戶的網路ip，客戶代理商和別的分辨資訊內容。

 

下列是那樣一個腳本製作的PHP實例：

 

電腦流覽器檢測

 

電腦作業系統檢測

 

以便恰當檢驗客戶電腦作業系統，在這一監測中使用了字體樣式檢驗。比如，根據檢驗電腦流覽器是不是適用Calibri字體樣式系列產品，就能夠 分辨電腦流覽器是否在Windows中運作：

 

方式也是個實例的網頁頁面證實能夠 分辨除開所述提及一些信，也有別的的資料資訊，包含電腦流覽器對話方塊的尺寸和方位，客戶是不是點一下了連接，及其客戶將滑鼠懸停在原素上的時間。網站安全2020年該如何做好防護部署請點擊查看

 

反跟蹤方式

 

在電腦流覽器中沒辦法避免這類進攻。能夠 依靠一個跨站引入系統漏洞來極致保持資訊內容盜取，還十分難以發覺。假如要想避免這類進攻，除非是禁止使用css樣式，可是這樣一來網址也就掛了了。儘管沒法徹底避免進攻，可是人們能夠 應用內容安全設置（CSP）提升其運用的難度係數。

 

CSP是一組標準，用作明確電腦流覽器能夠 實行和不實行的實際操作。CSP一般 用作避免跨電腦流覽器載入不會受到信賴的腳本製作造成的跨網站腳本製作（XSS）和別的進攻。儘管一般 與JavaScript文檔一起應用，但CSP還可以運用於css樣式樣式表。

 

人們假定由協力廠商服務提供者代管的樣式表的網址，網路攻擊嚴重危害樣式表並將客戶監測加上到網頁頁面上的連接以下：

 

當客戶點擊該連接時，她們的電腦流覽器會別的網址上的監測腳本製作。因為該個人行為是根據電腦流覽器進行的，因而網址使用者徹底不清楚該系統漏洞。內容安全設置根據設定容許的款式及其來源於網址，就能夠 防止啟用不法來源於的連接。

 

禁止使用內聯款式

 

禁止使用內聯款式是CSP出示的較大 安全性優點之一。內聯款式是立即在html代碼文本文檔中申明（或根據JavaScript設定）的款式，而並不是從樣式表中載入的款式。內聯款式，特別是在是動態性轉化成的款式或客戶構建的款式，十分無法調節和維護。因此CSP一般 會阻攔全部內聯款式，並將這些歷經非常准許的內容納入許可權。

 

下列標準阻攔全部內聯款式及其外界代管的樣式表：

 

應用雜湊和自然數認證款式

 

假如阻攔內聯款式不可以嚴禁，人們依然能夠 應用雜湊和自然數保證css樣式的一致性。

 

在樣式表或內聯款式上實行散列涵數時，除非是款式變更，不然它應當自始至終回到同樣的結果。這針對將一些內聯款式和樣式表納入許可權十分有效，另外能夠 認證款式是不是未被改動或偽造。

 

Nonces則應用雜湊相近的作用。可是添加了自然數，為每一懇求轉化成一個新的自然數，使網路攻擊更無法猜想其值。這防止了雜湊的重要缺陷:好幾個鍵入將會轉化成同樣的雜湊。

 

外部樣式表開展認證

 

樣式表一般 代管在協力廠商網路服務器上，比如CDN中，這會造成一個新的進攻通道。假如CDN遭受侵入，怎能阻攔進攻偽造代管的css樣式呢？

 

參考答案是SRI，能夠 應用資源一致性（SRI）處理此難題。

 

SRI應用雜湊來認證腳本製作和樣式表的內容。測算每一文檔的雜湊並將其額外到html代碼原素的一致性特性。當流覽器下載腳本製作或樣式表時，它會測算其雜湊值並將其與儲存在特性中的值開展較為。假如配對，才會載入腳本製作或款式。