关于 js 获取浏览器指纹

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2077 天前的主题，其中的信息可能已经有所发展或是发生改变。

RT，偶然看到一文讲 js 获取浏览器指纹的。本人对前端一窍不通，但猜想 js 要获取这些信息总要通过调用函数 /接口 /方法吧。。而现在网站严重依赖 js 也不能禁用，那为什么没有相关的扩展 /脚本 /浏览器机制来 hook 相关的方法 /函数从而保护信息呢。。

第 1 条附言 · 2019-03-18 16:28:41 +08:00

chrome 商店搜 webGL 的时候找了一个插件

https://chrome.google.com/webstore/detail/browser-plugs-fingerprint/gpgbpgdfipppcelfbdlbkhmibofknppj

https://www.browserplugs.com/

看起来似乎满足条件了。但发现它破坏了某些网页（如 github ）有奇怪的 bug

函数

浏览器

获取

指纹

14 条回复 • 2019-03-17 17:23:02 +08:00

IsaacYoung

2019-03-17 09:02:13 +08:00

Proxy

gamexg

2019-03-17 09:06:41 +08:00

搞过，扩展级别的能够 hook 掉对应的函数或伪造结果。
但是，伪造的数据类型和系统数据类型并不一致，专门检查的话反而更明显。字体也只能增加伪造字体并不能减少字体。

听说 Tor Browser 浏览器有防跟踪功能，但是没研究过。

qiayue

2019-03-17 09:16:50 +08:00

其实没那么神奇，重复率很高，并不能够准确识别同一台设备

nanaw

2019-03-17 09:35:29 +08:00

@gamexg 这就有一种蛋生鸡鸡生蛋的感觉了。既然可以通过 hook 完全蒙蔽 js 获取的信息，那么又如何被检查到的呢，。。
（如系统类型，版本，浏览器窗口大小，分辨率，时区，ua 这些信息）

gamexg

2019-03-17 09:49:12 +08:00

@nanaw #4 非前端，而且这个也很长时间了，记不太清。
大概问题是 js 系统函数返回的数据类型并不是普通 Object，而是根据函数不同返回不同的类。

有些返回的类型应该是内置类，无法直接创建这种类的对象。有些可以直接使用系统函数返回的对象做修改后在返回给用户，但是有些无法修改，即使 defineProperties 函数也无法修改。那么只能返回自己创建的 Object 对象了,专门检查这个就能够发现在伪造指纹。

我是非前端，当时看过原型链等 js 类型系统，还是没能解决这个问题。也许专业前端能够搞定这个。

另外印象还有很多地方存在这种问题，例如字体，字体增加其实是用现存字体创建一个别名，对比的话能够发现这个问题。