可以image.src是一个安全风险？

Question

我有以下代码

var image = new Image(); 
image.src = "https://MyTrackingSite.com/?myTrackingParameter=whatever" 

图像没有添加到DOM树。它是通过命令“image.src”渲染的吗？它可能是安全风险吗？

干杯

阿恩

Answer 1

一般而言，上面的代码将preload the image。在这种特定情况下，它会强制浏览器向跟踪站点发出请求。

安全风险较低，除非：

1. 跟踪网站被黑客攻击或不摆在首位正版。 The New York Times was once hit with something like this，所以这很少见，但并非不可能。
2. 没有人截获您的流量和安装操作系统取代了原来的服务器发送你的图像（some agencies around the globe intercept traffic to YouTube and similar sites to hack computers）
3. 你没有运行最新版本的浏览器
4. 的您没有最新的安全补丁
5. 如果您运行的是Windows或Mac OS，则应该安装病毒防护，并且您应该时时检查它是否仍处于活动状态，工作状态和最新状态（包括软件及其病毒码）。

大多数时候，这只是一个隐私泄露，因为跟踪网站只是返回一个网络bug（1x1透明图像）。代码的目标是让跟踪器知道你在哪里。