Google Analytics和其他客户端分析工具的安全性？

Question

Google Analytics（分析）通过客户放置在其网站上的客户端JavaScript来跟踪用户。正如安全社区所知，客户端输入不可信。

所以，我想知道，是什么阻止发生的历史如下：

• 恶意用户伪造请求给误导性信息的网站所有者。例如，他们可能会让他们认为大多数人转到页面A而不是页面B，这会弄乱他们对其网络流量的整个分析理解。
• 仅仅让网站认为他们获得更多流量的恶意用户比他们更让他们认为他们比他们有更多的牵引力。当交通在晚些时候开始走下坡路时，这对投资者来说实在是太糟糕了。
• 恶意用户只是泛滥的日志，使任何类型的分析不可能。

我能想到的唯一可能的保护措施是基于HTTP标头和IP地址速率限制，通过分别篡改标头和使用代理可以避免每一种。

我问，因为我想写一个类似的客户端跟踪JavaScript。但考虑到所有的安全漏洞，我开始想知道为什么有人使用或信任客户端跟踪。

Answer 1

是的，攻击者可以操纵发送到Google服务器的请求。

我不知道谷歌有什么防范措施。防止这种行为并不是一个好方法。

那么为什么用户仍然信任GA？恶意攻击者可以欺骗所有请求头，但不能欺骗IP地址。所以即使报告显示很多流量，您也很快就会发现它们都来自同一个IP地址。换句话说，打折额外流量是微不足道的。

当然有人可以从遍布世界各地的几台机器运行攻击。你会看到来自各地的假交通。您仍然可以通过过滤诸如用户代理或其他http标头或恶意脚本特有的其他此类“签名”来捕获恶意流量。

你会说“但是有人可以编写一个模拟真实生活的脚本，比如HTTP头文件”。当然。但是这提高了酒吧相当高。你在谈论一个能够访问世界各地数百台机器的人，可以编写可以工作数月的脚本来欺骗你，并且可以生成足够多的随机数据，这样你就不能过滤任何一个属性。

确定的人可以并且会有他的方式。