да я давно уже заметил что на безопасность всем плевать.
это чисто для демонстрации тем недопараноикам что хотят замаскировать браузер с включенными скриптами
если и без скриптов то можно задетектить (а юзая @media и версию узнать поконкретнее)
то со скриптами и подавно.
если непонятно как работает стук еще раз поясню
вот зашел ты на страничку , юзерагент скрыт или изменён, скрипты выключены
если обработки странички нет или вырублены картинки то в логах сервера будет только один запрос
если там не ие и не мозилла то 2 запроса страничка и green.png
если ие то запросов три  страничка зеленый и синий если мозилла то тоже три страничка зелёный и красный.
сделать всё это незаметным и удобоваримым для последующей обработки вообще нет проблем.
и это таки да кусок к отпечатку
ну а разместив подобное в разных местах и генеря картинки  можно отслеживать юзера даже если он режет скрипты
и меняет юзерагента

ничего.. просто иметь ввиду что безопасность штука комплексная и достаточно одного прокола.
всё равно юзеры не способны выполнять даже минимум правил.
они даже не научились не верить заявлениям всяких деятеле и контор о безопасности той или иной фигни.
фраза Мы защитим вас от шуршунчика  означает на деле  Мы не хотим чтоб шуршунчик выпил у вас кровь которую мы хотим выпить сами. или как вариант Мы придумали шуршунчика чтоб запугать им вас тогда вы сами предоставите нам доступ к своему тельцу чтоб мы смогли полакомиться.
ну а чтоб определить реальный шуршунчик или нет нужно мозг включать а с этим у юзеров сам знаешь хреново.
вот скажи ты лично сам проверил написанное выше в разных браузерах? наверняка поленился ведь?

Обычному пользователю некогда этим заниматься.
Ведь нужно перелопатить кучу информации, научиться хотя бы основам.
А если у тебя работа непрофильная или две? Семья.
Поэтому, более озабоченные безопасностью, юзают продукты доработанные специалистами.
Например, TOR.
Правда, поговаривают, что специалисты из TOR основной считают работу в ФБР...
Да и где гарантия, что всякие proxy/VPN сервисы не контролируются кем-то со стороны?

а это что - не слив?
один простой запрос странички в дефолтном браузере уже сливает сайту твою версию браузера поддерживаемые языки и форматы твою операционку
и это только юзерагент и парочка заголовков а их там гораздо больше
а уж если владелец сервера спросит(используя возможности скриптов стилей хтмл) то браузер не спрашивая тебя сольёт гораздо больше инфы.
а пример собственно приведён для ттого чтоб понимать что если скрипты и заголовки ещё можно както порезать в фф то вот такие вот дыры заткнуть совсем непросто даже тому кто разбирается.

так вот я и талдычу что когда ктото говорит про безопасность и её улучшение это обман и намеренное введение в заблуждение юзера.
а следовательно полагаться на чьито там заверения глупо.
если ты купил сапоги это не значит что они защитят тебя от промокания потому что лужа может оказаться глубже
и надевание химзащиты или скафандра не поможет потому что на дне может оказаться острая арматура или какаято зубастая хрень.
поэтому даже надев всё это изабравшись в танк надо осознавать что ты не в безопасности и двигаться по асфальтированной дороге объезжая лужи и прочие подозрительные места.
надо просто осознавать хотябы часть опасностей и вести себя соответственно.
и да безопасность и удобства никогда не бывают вместе и если чтото делается для удобства то в 99% случаев это в ущерб безопасности.

link

хехе а вот вам ещё и CSS кейлоггер чтоб воровать пароли
а прикол в том что стиль для страницы может быть прописан не только в её коде но и в стайлише юзерхроме и в любом дополнении\кнопке\юзерском скрипте
и что для этого не нужно много писать достаточно одной строчки @import('урл')
как вы думаете на амо проверяют стили в дополнениях?
а на скольких сайтах подключены внешние цсски?
зы выражаю благодарность автору тех статей за проделанную работу (про демонстрации очевидного но всем же лень писать как и мне - только ща сподвигнулся на этот прмер а знал то давно)

Отредактировано okkamas_knife (04-02-2018 09:07:59)

фуфло. спекуляция на теме .  защитит возможно при одном варианте но стоит чуток поменять способ и толку ноль
товарищ взял пример реализации атаки и сделал конкретно против него.
(он там инпуты проверяет и всё! кто мешает в качестве селектора вместо input указать *[type="text"] например(это я условно) или #ид_инпута)
вобщем ложное чувство безопасности это всё что даёт это расширение.

именно
и не только стили.
вот ты вставил картинку со стороннего ресурса и даже прописал в урл котик.жпг но никто не мешает владельцу стороннего ресурса одавать по этому запрсу не jpg а svg изображение - а внутрь свг уже можно воткнуть и стили и скрипты и фреймы вобщем весь набор для осуществления пакостей (если интересно почитай про этот формат на том же мдн или в вики.)

и еще немного цсс пакостей
никаких скриптов только хтмл и стиль внутри
очень нехило грузит процессор, самый прикол что если сделать цвета рядом т.е. 000000 и 010101 то визуально цвет будет одинаковый но для компа отличается а значит проц будет грузиться
ну то есть я делаю внутри дива с чёрным фоном все эти анимации с трансформацией объектов у которых цвет #010101 видуально будем иметь просто черный див но грузящий процесор

data:application/x-zip;base64,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