AliExpress ana səhifəsi səssizcə WebAudio barmaq izi toplayır və multipoint Bluetooth-u pozur

Avqustda dərc olunmuş bloq yazısı brauzer barmaq izi toplamanın qeyri-adi yan təsirini sənədləşdirir: AliExpress ana səhifəsi səssizcə audio emal edir, buna görə kompüterin Bluetooth kanalı məşğul qalır və multipoint qulaqlıq uyğunlaşdırılmış telefona qayıtmır.

Müəllifin qulaqlığı eyni anda həm kompüterə, həm telefona qoşulub; kompüter səs çaldığı müddətdə prioritet onda olur. Bu sxem Firefox və ya Chrome-da AliExpress səhifəsi açılana qədər işləyirdi. Səhifə yükləndikdən az sonra telefondan gələn səs kəsilirdi; tabı bağlamaq problemi dərhal həll edirdi, tabı səssizə salmaq etmirdi və görünən heç nə çalmırdı.

Media elementi yerinə gizli audio qrafiki

İlk yoxlama audio və video elementlərini, play() çağırışlarını, Media Session metadatalarını, media sorğularını və daxil edilmiş çərçivələri axtardı və heç birini tapmadı. İşarə zamanda idi: problem yalnız səhifə bir neçə saniyə boş dayandıqdan sonra yaranırdı. Müəllif buna görə Web Audio API-ni izləməyə aldı, AudioContext konstruktorunu və AudioNode.prototype.connect() metodunu sarıdı və boş səhifə yükləməsini qeyd etdi. İki AudioContext obyekti göründü: hər ikisi running vəziyyətində və hər ikisi audio hədəfinə qoşulmuşdu.

Stek izləri collina.js və fireyejs.js fayllarını göstərirdi — assets.aliexpress-media.com üzərindən verilən obfuskasiya olunmuş fayllar; müəllif onları Alibaba-nın brauzer təhlükəsizliyi və antisaxtakarlıq alətləri ilə bağlayır. Hər ikisi eyni zənciri qurur: mişar dişli osilator, analizator, prosessor düyünü, sıfıra qoyulmuş gain düyünü və audio hədəfi. Skript analizatorun tezlik məlumatlarını oxuyur. Gain sıfır olduğu üçün heç nə eşidilmir, amma sistem hədəfinə qoşulma açıq qalır, audio həqiqətən emal olunur və tabın səssizə salma düyməsinin səssizə sala biləcəyi media elementi yoxdur.

Çoxsaylı siqnaldan biri

Audio yoxlaması daha geniş barmaq izinin bir hissəsidir: paketlər canvas və WebGL məlumatlarını, ekran və aparat detallarını, WebRTC davranışını və istifadəçi hadisələrini oxuyur, sonra nəticələri şifrələyib Alibaba telemetriyasına göndərir.

Bloklama və onun qiyməti

Müəllif antisaxtakarlıq məntiqini qəbul edir — alıcını avtomatlaşdırmadan ayırmaq hesab ələ keçirilməsi, saxta hesablar, skrepinq və ödəniş fırıldaqçılığı ilə mübarizədə kömək edir — lakin tətbiqə etiraz edir: o, hər hansı həssas əməliyyatdan əvvəl adi alış-veriş səhifəsində işləyir, qəsdən yoxlamağı çətindir və canlı audio qrafiki başlayanda heç nə bildirmir.

İki skripti bloklayan dar uBlock Origin qaydaları audio kontekstlərin yaranmasını dayandırdı, ana səhifə isə yenə normal göründü. Əvvəlcə açıq AliExpress tabları bağlanmalıdır, çünki skriptin bloklanması artıq yaranmış audio kontekstini dayandırmır. Antisaxtakarlıq sistemləri ilə bağlı olduqlarından bloklama əlavə CAPTCHA doğura bilər.