【解密百度追踪脚本 abclite-2020-s.js】

dlswbr.baidu.com/heicha/mw/abc
这个追踪脚本被百度的多个服务所使用,如:百度百科、百度贴吧、百家号等。

今天花费了一些时间,对该追踪脚本进行一个系统的分析。
发现百度不仅搜集设备平台、浏览器名称、浏览器版本等基本信息。
还搜集CPU核心数、canvas指纹、设备屏幕宽高、浏览器安装的插件情况等进一步的信息。
最让我惊讶的,百度还通过 DeviceMotionEvent 事件监控用户设备的运动情况。

此外,该脚本还对检测了是否存在广告屏蔽器,eval函数是否被hook、脚本自身是否被修改或格式化。
对于 phantom、nightmare、Selenium、puppeteer 等常见的自动化浏览器该脚本也进行了检测。

最终将上述收集到的信息 AES 加密后上传至百度服务器。

解密后的脚本在这里:gist.github.com/yingziwu/6e16c

最后,也是最为重要的,常见的广告屏蔽规则中并没屏蔽该脚本。
如下图便是uBlock 默认订阅集外加 CHN: AdGuard Chinese (中文) 订阅集下,访问 baike.baidu.com/ 时的请求情况。
可以看出,该脚本并没有被屏蔽规则屏蔽。

#百度 #隐私安全 #浏览器

It's year 2021. I finally have proper IPv6 connectivity at home 😅

俱乐部房子是什么啊 没听说过啊

Whether you like it or not, ranting about how toxic part of a community is only makes you a significant contributor to the toxicity of said community. That's why whenever I think something is not worth my time anymore, I will just quit, not making a long rant about how horrible it is. It doesn't work, and it wastes my time, and it only makes me look even worse.

打了几次草稿,放置了一个多月,终于写完了,好像放下了心头的一块大石头 …

Show thread

Vue 3 发布了!赶紧把没写完的 Vue 2 应用内存泄漏问题调试笔记翻出来写完了 😅

rocka.me/article/debugging-mem

(再写不完就没人会看了(说的好像早点写出来就会有人看一样

Grab some popcorn, sit back and enjoy the show: Plasma Bigscreen is coming to a TV near you!

dot.kde.org/2020/03/26/plasma-

Try Plasma Bigscreen now on your Raspberry Pi 4!

plasma-bigscreen.org/

the year is 2050. GTK is still preparing the move to version 4, and has collaborated with the FBI to assassinate anyone who mentions the filepicker thumbnail bug. qt stil has an open source version, but it requires you to have create an account with a valid email address and physical address, and limits applications to only containing one window.

microsoft is still "transitioning away from winforms" to the Multiversal Windows Platform, For Real You Guys, We're Doing It Platform. iOS desktop (formerly macOS) has deprecated all system widgets in favour of the cloud. google has created an artificial intelligence to randomly create and deprecate new GUI frameworks, rendering it essentially impossible for anybody but them to create android apps with "native GUIs".

the only usable framework is electron, but everybody hates it because bloat.

as people struggle to find a desktop ui framework that hasn't been bogged down into uselessness by licensing issues or lack of features, a saviour emerges from the heavens: java swing

@PeterCxy @AstroProfundis 互联网文化中的一部分思想,例如强调不受外部干涉的自治,被一些人认为体现了自由意志主义(如《赛博空间独立宣言》)乃至无政府资本主义(如部分比特币的支持者);而另一方面,密码学家 Bruce Schneier 多次将互联网的格局批评为「封建制」,众人都生活在 FAANG 巨头的地盘,他们就是现代封建领主,在领地内拥有至高权力。有趣的是,后者正是对无政府资本主义的常见批评,批评者认为当国家机器被消除,资本家的暴力机器会取而代之,形成军阀封建割据的局面。

互联网文化很复杂,以上的几个观点只是一个特定侧面的的解读方式,不能以偏概全。但把他们联系起来,倒是可以讲个有意思的故事——政府权力虚弱的赛博封建世界,Google 等领主拥有大量资本,主宰大部分地盘;低端主机贩子、飞机场老板没什么资本,相当于是赛博封建世界的军阀或帮主,时常为利益互相攻击,偶尔开一炮能震动好几个行省;此外还存在少数独立城邦,不少人在这里圈地自萌,或逃避皇帝、领主的迫害(个人服务器和独立社区)。而领主、军阀、帮主与城邦的区别,只是资本的多寡。

“智能电视”是我最不能理解的一种设备形态。不像电脑一体机,至少能拆开换个硬盘,加点内存,再不济也能当个显示器用。可是国内的“智障电视”,就算你只想把它当个电视,接上视频输入,也得忍受十几秒的开机广告。

况且国产智障电视的系统都魔该严重,升级就别想了,禁止安装第三方软件,还把原生 Android 的设置都给阉割没了。

花了两天时间折腾了家里几年前买的智障电视,顺便水了一篇博客。

rocka.me/article/cursed-tcl-an

记得 2010 年,方氏防火墙的技术细节还都是众所周知的,大多数技术层面的内容都能在公开的论文和专利中找到。甚至有几个技术网站专门分析、转载墙的最新技术动态和小道消息,连硬件平台是数百台曙光服务器都被推断出来了。有的文章甚至像当小说一样,当年我因此学到了许多网络知识。

到了 2013 年之后就不行了,自引入 VPN 握手的匹配机制开始,之后的实现细节都几乎变成黑盒了——无法解释的连接神秘阻断就是那时候开始的,甚至分不清是网络拥堵还是网络审查。与此同时,Shadowsocks 等十分无聊的对称加密代理工具崛起,它们并没有任何技术亮点,只是冰冷的对称加密全部流量。

也差不多就是在那个时候,那几个技术网站也不活跃,不怎么发布技术信息了。当时因为没文章看还郁闷了许久。

而在 2014 年以后,我们就不再理解它了(虽然也并不是没有重要成果问世,例如 2015 年的 32C2 上对 GFW 探针的分析,以及 2017 年对 GFW 状态机的分析),只有偶尔的传言带来的群体歇斯底里。

不过我猜小道消息还存在,只不过现在都在 Telegram 群组上,圈外人看不见。而当年博客的长篇分析也退化了 IM 上的只言片语了。

Show older
SN.Angry.Im

The social network of the future: No ads, no corporate surveillance, ethical design, and decentralization! Own your data with Mastodon!