हैकर ने आगंतुकों को प्रतियोगी साइटों पर नज़र रखने का एक तरीका ढूंढा है

एक साधारण स्क्रिप्ट ब्राउज़र में बैक बटन के व्यवहार को बदल देती है और मूल खोज परिणामों को बदल देती है, उपयोगकर्ताओं को हैकर द्वारा नियंत्रित प्रतियोगी साइटों की प्रतियों के लिए निर्देशित करती है।

एक सामान्य पैटर्न: Google खोज पृष्ठ खोलें और आपको आवश्यक जानकारी के लिए खोज में विभिन्न परिणामों पर क्लिक करें। आप दर्जनों व्यक्तिगत टैब खोल सकते हैं या बदले में प्रत्येक साइट पर जा सकते हैं, फिर खोज परिणामों पर वापस जा सकते हैं (ब्राउज़र में बैक बटन)। ऑस्ट्रेलियाई कंपनी देजान मार्केटिंग के सर्च इंजन ऑप्टिमाइज़ेशन विशेषज्ञ डैन पेट्रोविच ने यह पता लगाया है कि अपने लाभ के लिए इस पैटर्न का कैसे फायदा उठाया जाए और प्रतिस्पर्धियों की साइटों पर जाने के व्यापक आंकड़े प्राप्त किए जाएं, जिससे वे ट्रैफ़िक से वंचित हो जाएं।

चित्र को ऊपर चित्रण में दिखाया गया है। प्रतियोगियों के आवागमन को बाधित करते हुए, विशेषज्ञ को अवसर मिलता है:

• अन्य लोगों की साइटों (क्लिक, परिवर्तन, स्क्रॉल गहराई) के हीटमैप उत्पन्न करते हैं
• वास्तविक सत्र रिकॉर्ड करें (माउस मूवमेंट, कीबोर्ड प्रेस)
• माल ऑर्डर करने के लिए फॉर्म सहित सभी रूपों से सभी पाठ प्राप्त करें

बेशक, डैन पेट्रोविच ने उपरोक्त में से कोई भी नहीं किया, क्योंकि यह कानून का स्पष्ट उल्लंघन है। यह संभावना है कि प्रतियोगियों की साइटों का अध्ययन करने का एक वैकल्पिक तरीका खोज परिणामों के बिना, और किसी और की साइट के सामान्य क्लोनिंग का उपयोग करके, और सोशल मीडिया के माध्यम से ट्रैफ़िक खरीदना, कानून का उल्लंघन होगा।

ब्राउज़र में बग अभी भी बंद नहीं हुआ है, इसलिए अन्य हमलावर भी इस पद्धति का उपयोग कर सकते हैं: भेद्यता के दोहन के लिए जावास्क्रिप्ट कोड सार्वजनिक डोमेन में प्रकाशित किया गया है। दरअसल, इस तरह की स्क्रिप्ट अपने आप को लिखना आसान है, जो रेफरर को ध्यान में रखते हुए ब्राउज़र इतिहास को बदलने के लिए history.pushState() विधि की कार्यक्षमता को जानता है।

डैन पेट्रोविच इस तथ्य पर ध्यान आकर्षित करते हैं कि उन्होंने पहली बार नवंबर 2012 में इस ट्रिक का उपयोग किया था । फिर, Google ने भेद्यता को बंद करने के बजाय, खोज परिणामों में अपने पृष्ठ को मैन्युअल रूप से कम कर दिया (वह पृष्ठ जहां से पीछे बटन पर क्लिक करके नकली खोज परिणामों पर पुनर्निर्देशित किया गया था)। अब जब उसने इस विधि का फिर से प्रदर्शन किया है, तो Google ने और भी कठिन काम किया है। Search Console में किसी भी सूचना के बिना, उसकी साइट को संपूर्ण खोज इंडेक्स से हटा दिया गया था ।

हैकर स्वीकार करता है कि सूचना सुरक्षा समुदाय में अलग-अलग पाई जाने वाली कमजोरियों को संभालने के लिए प्रथागत है। उन्हें पहले डेवलपर्स को सूचित किया जाता है और बग फिक्स का इंतजार किया जाता है, और केवल इस तथ्य के बाद ही उन्हें इसके बारे में बताया जाता है। पेशेवर पंचकों ने लेखक को विस्तार से बताया कि कैसे उसे इस भेद्यता का सुरक्षित तरीके से प्रदर्शन करना चाहिए था। लेकिन पेट्रोविच ने अलग तरह से काम किया - उन्होंने वास्तविक साइटों पर योजना दिखाई और तुरंत सभी को बताया। इसके अलावा, उपयोगकर्ताओं की वास्तविक निगरानी के बिना भी ऐसी हैक की वैधता पर बहुत संदेह है, अर्थात, अन्य लोगों की साइटों की नकली प्रतियां बनाने और उपयोगकर्ताओं को पुनर्निर्देशित करने की वैधता। लेकिन वर्षों में, किसी भी प्रतियोगी ने मुकदमे दायर नहीं किए हैं, जैसे कि Google (जो नकली खोज परिणामों से भी प्रभावित होता है)। यह एक पूर्ण फ़िशिंग है, प्रदर्शन उद्देश्यों के लिए और दुर्भावनापूर्ण इरादे के बिना। यही है, एसईओ विशेषज्ञ के कार्यों की नैतिकता सवाल में है।

लेकिन तथ्य यह है: वर्षों से, ब्राउज़र में बैक बटन अभी भी हेरफेर के लिए कमजोर है। पेट्रोविच के अनुसार, अन्य साइटें प्रतियोगियों की साइटों पर आगंतुकों को ट्रैक करने के लिए भी इस तकनीक का उपयोग करती हैं। उनका मानना ​​है कि Google को अपनी साइट को खोज अनुक्रमणिका से बाहर नहीं करना चाहिए था, लेकिन कई उपाय करने चाहिए थे ताकि यह पुरानी चाल बंद हो जाए:

1. क्रोम में बैक बटन में हेरफेर करने की क्षमता को खत्म करें।
2. स्वचालित रूप से उन साइटों के जारी करने में कम है जो इस चाल का उपयोग करते हैं (और मैन्युअल रूप से केवल उन्हें व्यक्तिगत रूप से ठीक नहीं करते हैं)। फिलहाल, Google इन लिपियों पर ध्यान नहीं देता है: पेत्रोविच का प्रयोग पाँच वर्षों तक जारी रहा और उनकी साइट को खोज परिणामों में अत्यधिक स्थान मिला।
3. history.pushState() और स्पूफिंग खोज परिणामों के साथ "खतरनाक" के रूप में चिह्नित करें।

संगठन-विशिष्ट (OV) और उन्नत सत्यापन (EV) प्रमाणपत्रों के साथ SSL प्रमाणपत्र आंशिक रूप से ऐसे फ़िशिंग से बचाता है, लेकिन यह उपयोगकर्ता की लापरवाही के लिए रामबाण नहीं है।

डैन पेत्रोविच के प्रयोग से पता चला है कि अब लगभग 50% उपयोगकर्ताओं को कुछ भी संदिग्ध नहीं लगता है जब उन्हें नकली खोज परिणामों पर पुनर्निर्देशित किया जाता है, और फिर स्थानीय डोमेन में किसी अन्य साइट की एक प्रति के लिए। कई उपयोगकर्ता यह नहीं देखते हैं कि कौन प्रमाण पत्र का मालिक है और URL को नहीं पढ़ता है - वे बस इस बात से खुश हैं कि ब्राउज़र में एक सुरक्षित कनेक्शन आइकन है, हालांकि यह किसी और के डोमेन के लिए जारी किया गया है। हमलावरों ने लंबे समय से पाया है कि सुरक्षित कनेक्शन आइकन एक फ़िशिंग साइट पर विश्वास बढ़ाता है ।

इस समस्या को हल करने के लिए कई उपाय किए जा सकते हैं, उदाहरण के लिए:

• History#replaceState को लागू करने के लिए उपयोगकर्ता पुष्टिकरण की आवश्यकता है।
• क्रोम एड्रेस बार में URL का सबसे महत्वपूर्ण हिस्सा हाइलाइट करें, जैसा कि फ़ायरफ़ॉक्स करता है।
• HTTPS साइटों को "सुरक्षित" के रूप में चिह्नित न करें क्योंकि यह उपयोगकर्ता को गुमराह करता है और सुरक्षा की झूठी भावना देता है।
• यदि यह पिछले पृष्ठ से भिन्न पते की ओर जाता है, तो बैक बटन का आइकन बदलें।

---