首页 > IT业界 > 正文

研究:浏览器漏洞让网站可窃取网友浏览记录

2010-12-09 11:01 来源:cnBeta

  根据美国加州大学圣地牙哥分校一份“JavaScript网页程序隐私资料流向验证”研究报告显示,Alexa排行前五万大的网站中,有485个网站利用浏览器漏洞未经使用者同意就读取浏览记录。包括Firefox及IE浏览器都尚未修补该漏洞。这485个网站中共有63个网站会把浏览记录上传,其中46个网站积极运用这些记录,其他17个网站则不确定用途。

 

  由于大部分的浏览器让程序共用浏览记录、档案快取、网域名称快取,导致网站可以通过JavaScript程序取得浏览记录。该份报告指出,有两家网站分析工具公司Tealium与Beencounter销售此类工具软件。

  网站通过JavaScript程序可以了解使用者看过哪些网站,甚至是哪些网页,网站可以据此呈现不同的广告,或者选定攻击的目标。但是恶意网站也可以据此判断使用者是否去过某网站(例如A银行),并诱导使用者链接到特定的网站。而不管是为了广告用途或者是恶意用途,网站可以通过这个功能判断使用者是否链接到特定网址。

  该份报告指出,、、等网站均会读取使用者的浏览纪录,幸好新一代的浏览器已经对此免疫,苹果的Safari及Google的Chrome这两种浏览器最新版本已经修补这个问题,Firefox则要等到4.0版,IE浏览器只能在“InPrivate浏览”隐私模式下才能避免被读取浏览记录。FireFox的NoScript则可以关闭大部分的JavaScript程序,仅让授权过的程序执行。

  除了侦测浏览技术之外,该份报告亦追踪网站关于窃取cookie、挟持网址(强迫使用者观看特定网页)、行为追踪等行为,例如微软、Wired杂志、日本雅虎及YouTube等网站会追踪使用者的行为,依网站不同可能追踪使用者滑鼠的位置、移动的方式、选取的文字等等。

  查看研究报告:An Empirical Study of Privacy-Violating Information Flows in JavaScript Web Applications

文章内容来源于网络,不代表本站立场,若侵犯到您的权益,可联系多特删除。(联系邮箱:9145908@qq.com)