Обратите внимание, в сообщение на которое я отвечал, броузер небыл специфицирован.

Да, это мое упущение. Для меня этот разговор - фрагмент разговора на подобную тему, который ведется здесь давно и поэтому я не указал, что говорю о браузере Mozilla Firefox. C другими браузерами мы просто не работаем, когда хотим, чтобы мы управляли ситуацией, а не ситуация нами. Но, конечно же, было бы правильнее, если бы я это уточнил.

 

Однако, чтобы вопрос понимался однозначно всеми, ответьте, пожалуйста, еще раз на те несколько пунктов, которые я озвучил в начале. Применительно к браузеру Mozilla Firefox 2

 

Я повторю для удобства эти вопросы, модифицировав их с учетом уже полученных ответов:

 

1. Известно, что исполнение java-скрипта, например, загружающего какой-то экран на сайте, может привести к выдаче IP-адреса при походе через анонимайзер, подменяющий ссылки так, как было показано выше. В таком случае выключение скриптов с помощью плагина noscript решает проблему?

 

2. Если в результате отключения скрипта с помощью noscript перестают открываться всякие менюшки, позволяющие пройти дальше, то как, не раскрывая своего IP, перейти на нужные страницы? Уточню: какими программами или с помощью каких приемов можно посмотреть, куда собирается привести нас скрипт, не раскрывая при этом своего IP? Если это, конечно, вообще возможно.

 

3. Если на сайте есть флэш-анимация и она не отключена в браузере, то известно, что ее воспроизведение может привести к раскрытию IP при работе через упомянутые прокси. Отключение флэш-анимации в браузере решает проблему?

 

4. Платные анонимайзеры - такие, как anonymizer.com или те, что организуют VPN-канал, подобно Steganos Internet Anonyp VPN, позволяют при включенном java-скриптах и флэше сохранять анонимность. Адрес в адресной строке при этом не модифицируется. Объясните, пожалуйста, вкратце, как работают эти анонимайзеры, что они способны спрятать наш IP-адрес даже при включенных в браузере скриптах и анимации.

 

5. ActiveX по умолчанию выключен в Mozilla Firefox. Значит ли это, что этот браузер нас всегда прикроет от прощупывания с помощью ActiveX?

 

6. Если мы поставим с помощью плагина, подменяющего в Mozilla Firefox User Agent (User Agent Switcher) в своем браузере Mozilla Firefox в качестве агента Internet Explorer, то мы сможем пережить атаку с помощью эксплоита, не вызвав при этом подозрений на сайте? А то я видел атаку в стиле таджикских хакеров - мне написали на откровенной помойке, что к ним только под IE пускают, а нам шум не нужен, нам надо "быть, как все". Мне не хочется испытывать на себе вражьи эксплоиты, но и внимание привлекать ни к чему.

Изменено 6 января, 200818 г пользователем CI-KP

По всем пунктам : Да

6. Если мы поставим с помощью плагина, подменяющего в Mozilla Firefox User Agent (User Agent Switcher) в своем браузере Mozilla Firefox в качестве агента Internet Explorer, то мы сможем пережить атаку с помощью эксплоита, не вызвав при этом подозрений на сайте? А то я видел атаку в стиле таджикских хакеров - мне написали на откровенной помойке, что к ним только под IE пускают, а нам шум не нужен, нам надо "быть, как все". Мне не хочется испытывать на себе вражьи эксплоиты, но и внимание привлекать ни к чему.

Здесь можно пролезть, используя разную архитектуру броузеров и разное их поведение. В качестве примера могу привести такую схему :

Вы "заявили себя" Internet Explorer, зашли на сайт. На сайте скрипт на языке VBScript, который выполняет к примеру следующее :

 

document.all.hiddenimage.src="http://mysite.com/it_is_ie.gif"

 

когда страница загрузится, то пользователь у которого IE, в добавок загрузит картинку it_is_ie.gif с сервера.

А пользователь, у которого Firefox этот маркер не загрузит. Потому, что Firefox не поддерживает VBScript.

 

При всем наборе вышеприведенных условий, конечно, этот метод не сработает - он приведен только как Proof of concept. Однако, поэкспериментировав 5-8 часов, можно разработать методику, которая позволит определить броузер в указанных условиях.

 

 

Пока писал, в голову пришел (непроверенный, но теоретически, работоспособный) метод, который должен отработать в указанных Вами условиях и указать на Фокс.

 

В Фоксе используется механизм плагинов - XPI, которые можно подписывать цифровой подписью.

Итак, на сайте делается ссылка, которая перенаправляет через редирект (http.302) на подписанный .xpi-файл

Дальше будет самое интересное :

IE - он не поймет что это такое, и скажет - мне какую-то хрень подсунули.

Firefox - нет, он не попытается его установить. Предложит конечно, но вы врядли согласитесь. Однако! До этого, он отправит запрос на сервер сертификации (который может быть ваш - здесь никакие CA-сертификаты покупать не нужно), за паблик-ключем, для проверки подлинности подписи и за CRL-файлом. На этом Firefox будет изобличен.

Изменено 6 января, 200818 г пользователем rst

По всем пунктам : Да

 

Здесь можно пролезть, используя разную архитектуру броузеров и разное их поведение.

 

Вообще какая-то параноидальная постановка вопроса :smile2: - зачем это может быть нужно в реальной жизни?

Ну пришел человек с FF2 с измененным User-Agent - ну и что? Представьте себе нормального посетителя сайта - хожу по ссылкам и вдруг мне пытаются подсунуть вместо страницы какой-то подозрительный файл :smile13: Да я после этого на такой сайт не пойду больше.

Поэтому давайте ограничимся противодействием мерам идентификации посетителей, которые может позволить себе обычный сайт коммерческой организации (интернет-магазин и т.д.). :smile3:

Хотя описанные меры анализа поведения браузера могут быть применены на каком-то персональном сайте (блоги и т.д.). Но тогда без "разведки боем" не обойтись - надо будет хотя бы один раз пройтись по сайту (через какую-нибудь прокси), проанализировать применяемые на нем меры идентификации посетителей и разработать меры противодействия им. Можно, кстати, на первый раз изображать из себя какого-нибудь доморощенного поискового робота (который все эти JS и т.д. не понимает) - указать специальный User-Agent, зайти на /robots, тупо обойти все ссылки подряд на главной странице... :smile5:

 

 

 

 

Вообще какая-то параноидальная постановка вопроса :smile2: - зачем это может быть нужно в реальной жизни?

Я полностью согласен с Вами, но ответ соответствует вопросу ;)

2 rst wolf ?