Google Analytics和其他客戶端分析工具的安全性？

Question

Google Analytics（分析）通過客戶放置在其網站上的客戶端JavaScript來跟蹤用戶。正如安全社區所知，客戶端輸入不可信。

所以，我想知道，是什麼阻止發生的歷史如下：

• 惡意用戶僞造請求給誤導性信息的網站所有者。例如，他們可能會讓他們認爲大多數人轉到頁面A而不是頁面B，這會弄亂他們對其網絡流量的整個分析理解。
• 僅僅讓網站認爲他們獲得更多流量的惡意用戶比他們更讓他們認爲他們比他們有更多的牽引力。當交通在晚些時候開始走下坡路時，這對投資者來說實在是太糟糕了。
• 惡意用戶只是氾濫的日誌，使任何類型的分析不可能。

我能想到的唯一可能的保護措施是基於HTTP標頭和IP地址速率限制，通過分別篡改標頭和使用代理可以避免每一種。

我問，因爲我想寫一個類似的客戶端跟蹤JavaScript。但考慮到所有的安全漏洞，我開始想知道爲什麼有人使用或信任客戶端跟蹤。

Answer 1

是的，攻擊者可以操縱發送到Google服務器的請求。

我不知道谷歌有什麼防範措施。防止這種行爲並不是一個好方法。

那麼爲什麼用戶仍然信任GA？惡意攻擊者可以欺騙所有請求頭，但不能欺騙IP地址。所以即使報告顯示很多流量，您也很快就會發現它們都來自同一個IP地址。換句話說，打折額外流量是微不足道的。

當然有人可以從遍佈世界各地的幾臺機器運行攻擊。你會看到來自各地的假交通。您仍然可以通過過濾諸如用戶代理或其他http標頭或惡意腳本特有的其他此類「簽名」來捕獲惡意流量。

你會說「但是有人可以編寫一個模擬真實生活的腳本，比如HTTP頭文件」。當然。但是這提高了酒吧相當高。你在談論一個能夠訪問世界各地數百臺機器的人，可以編寫可以工作數月的腳本來欺騙你，並且可以生成足夠多的隨機數據，這樣你就不能過濾任何一個屬性。

確定的人可以並且會有他的方式。