利用字型來判斷使用者是否有安裝特定軟體
source link: https://blog.gslin.org/archives/2022/07/23/10811/%e5%88%a9%e7%94%a8%e5%ad%97%e5%9e%8b%e4%be%86%e5%88%a4%e6%96%b7%e4%bd%bf%e7%94%a8%e8%80%85%e6%98%af%e5%90%a6%e6%9c%89%e5%ae%89%e8%a3%9d%e7%89%b9%e5%ae%9a%e8%bb%9f%e9%ab%94/
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
利用字型來判斷使用者是否有安裝特定軟體
在 Hacker News 上的「TeamViewer installs suspicious font only useful for web fingerprinting (ctrl.blog)」這邊看到的技巧，原文在「TeamViewer installs suspicious font only useful for web fingerprinting」這邊，但文章標題本身可以忽略。
這別提到的方法是，在安裝軟體時額外安裝一個特別的字型，然後網頁就可以透過 javascript 判斷這個字型存不存在，來得知使用者是否有安裝自己的軟體，接下來就可以走到不同的 flow：可以導引使用者下載軟體，或是透過 handler 拉起應用程式。
不過這也透漏出了隱私問題，代表廣告商可以利用這點取得 fingerprint，而不只是軟體自家的網站。
看討論串裡面說 Firefox 上可以用 privacy.resistFingerprinting 擋住：「Firefox's protection against fingerprinting」，但 Firefox 本身也沒有說明的太清楚到底會放行哪些字型：
Not all fonts installed on your computer are available to webpages
在「Security/Fingerprinting」這頁則是：
We only allow specific system fonts to be used, and we ship them to the user using kinto
直接試著找 Bugzilla 與 source code 的資料可以翻到「Restrict CSS font visibility to standard fonts only when privacy.resistFingerprinting is true」這個討論，裡面有提到「https://searchfox.org/mozilla-central/search?path=StandardFonts*.inc」這個，可以看到有 Linux、macOS 與 Windows 10 下的清單。
不過 Chromium-based browser 下目前好像沒看到方案...
Related
無名 Blog 匯出成 MT 格式
給不想看下面說明的人：備份服務的網址是 http://backup.hasname.com/blog/wretch/。 注意：這項服務還有一些小問題，有可能隨時都在改 code。 2006/10/05 20:54 更新：現在的版本會多開幾條連線平行化處理，下載的速度應該會快很多。 2006/10/05 17:30 更新：現在下載的檔名會是 backup-${username}.txt 了，這樣應該比較方便。 雖然在去年六月的時候為了幫 ashley 大姊姊 (a.k.a. 電視兒童) 從 無名 跳出來而用 Perl 寫了一個小程式，將 無名 Blog 上的文章匯出成 RSS 2.0 格式，再匯入 WordPress 裡。後來這個小程式就再加強一下，寫了一個網頁並公開出來 (參考 無名小站的 Blog 與 Album 備份及還原服務 這篇文章)，並且希望 無名 提供更完整的匯出及匯入服務。 後來 養樂多 (Yam Roodo) 的 Blog 服務 提供 MT 格式 的匯出與匯入，而國外…
October 4, 2006In "Blog"
Victor Mono 字型
本來是在 Hacker News 上看到「MonoLisa – A font designed for developers (monolisa.dev)」這個付費字型，但下面的討論反而提到了一些其他還不錯的 open source 的字型，其中一個就是這邊提到的 Victor Mono。 另外有提到「Programming Fonts - Test Drive」這個站，可以測很多不同的 Monospace 字型，看起來也可以翻翻...
February 16, 2022In "Computer"
無名小站的 XSS 安全漏洞
前言 布丁大長輩 在 Year.new(2006) 這篇幹剿無名小站的 XSS 安全漏洞，沒有講的很明白，加上我這陣子沒在實驗室遇到 wkwu (是的，我跟他是同一個指導教授)，所以一直沒有跟他說這個在國外已經「開發」好一陣子的安全漏洞。 Javascript 是在使用者端 (Browser) 跑的程式，理論上來說，讓使用者輸入自己的 Javascript 並不會有什麼問題，但實際上自從 XMLHttpRequest() 被大量應用後 (一開始發展 AJAX 所使用的核心技術之一)，有些人就發現 XMLHttpRequest() 是可以拿來當作攻擊的工具。 舉例說明 舉個例子說明會比較清楚。以目前最大的 無名小站 為例，「修改個人資料」的頁面是在 http://www.wretch.cc/user/modify.php?admin_user=1 這個位置，會以 POST 的方式送給 http://upload.wretch.cc/user/do_modify.php，那麼我就可以在文章裡面嵌入一段 Javascript：(修改自 Use the XMLHttpRequest Object to Post Data) var objHTTP, strResult; objHTTP = new ActiveXObject('Microsoft.XMLHTTP'); objHTTP.Open('POST', "http://upload.wretch.cc/user/do_modify.php",false); objHTTP.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');…
January 6, 2006In "Blog"
Leave a Reply
Your email address will not be published. Required fields are marked *
Comment *
Name *
Email *
Website
Notify me of follow-up comments by email.
Notify me of new posts by email.
To respond on your own website, enter the URL of your response which should contain a link to this post's permalink URL. Your response will then appear (possibly after moderation) on this page. Want to update or remove your response? Update or delete your post and re-enter your post's URL again. (Learn More)
Post navigation
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK