easeapi blog
·
判断浏览器User-Agent是否伪造的常规方法
💡
原文中文，约5600字，阅读约需14分钟。
📝
内容提要
本文介绍了判断浏览器User-Agent是否伪造的方法，包括TCP/IP指纹、HTTP信息、JavaScript特性、CSS特性和特殊的window属性。传统的检查方法存在局限性，攻击者可以轻松地修改这些信息的值来伪造请求。
🎯
关键要点
- User-Agent 是网络客户端发起 HTTP 请求时的标准 Header 字段，用于标识客户端信息。
- 主流浏览器的 User-Agent 格式通常为 Mozilla/[version] ([system and browser information]) [platform] ([platform details]) [extensions]。
- User-Agent 信息容易被篡改，攻击者可以伪造任意系统和浏览器版本的 User-Agent。
- 判断 User-Agent 是否伪造的常规方法包括 TCP/IP 指纹、HTTP 信息、JavaScript 特性、CSS 特性和特殊的 window 属性。
- TCP/IP 指纹可以通过分析 TCP 头部及标志信息来判断操作系统。
- HTTP 请求的 Header 中包含多个字段，可以与 User-Agent 进行对比以判断是否伪造。
- JavaScript 的 window.navigator 属性可以提供浏览器的更多信息，用于判断 User-Agent 的真实性。
- CSS 特性可以通过 JS 方法 CSS.supports 来检查浏览器支持的特性，以此判断 User-Agent 是否伪造。
- 不同浏览器可能会增加不同的 window 属性，这些属性也可以用来判断 User-Agent 的真实性。
- 传统的检查方法存在局限性，攻击者可以轻松修改这些信息来伪造请求。
🏷️
标签
➡️
